CIR (Common Identity Repository) jest komponentem interoperacyjności systemów UE, który przechowuje zestawy danych identyfikacyjnych, dokumentów podróży i danych biometrycznych pochodzących z określonych systemów źródłowych. Ułatwia prawidłowe odnalezienie osoby zarejestrowanej w więcej niż jednym systemie oraz ustawową identyfikację osoby o nieznanej tożsamości.

CIR wszedł do eksploatacji 12 czerwca 2026 r. wraz z nowym Eurodac i Europejskim Portalem Wyszukiwania. Nie jest ogólnym „rejestrem obywateli UE” ani nową policyjną superkartoteką. Każdy zestaw pozostaje logicznie oddzielony według systemu źródłowego, a dostęp zależy od celu i uprawnienia użytkownika.

Pierwotny użytkownik: organ systemu źródłowego

Konsulat, straż graniczna, organ azylowy, migracyjny albo wymiar sprawiedliwości wprowadza dane do VIS, EES, ETIAS, Eurodac lub ECRIS‑TCN zgodnie z właściwą regulacją. CIR otrzymuje przewidziany podzbiór potrzebny do tożsamości.

Organ nie tworzy odrębnego dossier CIR „według uznania”. Rekord wynika z utworzenia lub aktualizacji wpisu w systemie źródłowym.

Państwo i organ odpowiedzialne za dane źródłowe pozostają odpowiedzialne także za poprawność odpowiadającego im zestawu w CIR. eu‑LISA nie ustala obywatelstwa ani prawdziwej pisowni nazwiska.

Korekta powinna przejść ze źródła do repozytorium. Bezpośrednie poprawienie jedynie prezentacji CIR pozostawiłoby rozbieżność.

Pierwotny użytkownik: funkcjonariusz identyfikujący osobę

W ściśle określonych warunkach uprawniony policjant lub inny organ może użyć danych biometrycznych do identyfikacji osoby, która nie może albo odmawia wiarygodnego podania tożsamości.

Najpierw musi istnieć rzeczywista potrzeba i podstawa w prawie krajowym. CIR nie może być pytany rutynowo wobec każdej osoby napotkanej na ulicy.

Wynik wskazuje zestaw danych pochodzący z konkretnego systemu. Funkcjonariusz potwierdza zgodność i ustala, jak wolno wykorzystać dalszą informację.

Identyfikacja nie oznacza dostępu do pełnego dossier wizowego, azylowego lub karnego. Repozytorium zwraca zakres określony dla celu.

Pierwotny użytkownik: straż graniczna

Strażnik graniczny może korzystać z CIR przez właściwe aplikacje i portal w ramach odprawy, identyfikacji oraz wykrywania niespójnych tożsamości.

Osoba może posiadać nowy paszport, kilka legalnych obywatelstw lub zmienione nazwisko. Wynik z kilku systemów nie jest automatycznie oszustwem.

Funkcjonariusz porównuje dokument, twarz, odciski oraz informacje źródłowe. Przy linku wielokrotnej tożsamości stosuje procedurę ręcznej weryfikacji.

Decyzja o wjeździe nadal wynika z kodeksu granicznego, statusu i danych systemów źródłowych. CIR sam nie odmawia wjazdu.

Pierwotny administrator techniczny

eu‑LISA rozwija i technicznie zarządza CIR, zabezpieczoną komunikacją i integracją z pozostałymi komponentami. W relacji do danych osobowych działa jako podmiot przetwarzający w zakresie określonym prawem.

Państwa oraz właściwe instytucje pozostają administratorami danych, które wprowadziły do systemów źródłowych. Odpowiadają za legalność, jakość i obsługę praw osoby.

Pracownik eu‑LISA nie ma zwykłego dostępu do treści danych przetwarzanych przez komponent. Administracja techniczna powinna odbywać się przez monitorowanie usług, metadane i kontrolowane procedury.

Awaria CIR nie uprawnia do kopiowania całych źródeł do lokalnych arkuszy. Prawo przewiduje kontrolowane ścieżki dostępu bezpośredniego, gdy jest to konieczne.

Co CIR przechowuje

Repozytorium obejmuje podstawowe dane tożsamości, w tym nazwiska, imiona, datę i miejsce urodzenia, płeć oraz obywatelstwo w zakresie przewidzianym dla źródła.

Przechowuje dane dokumentu podróży oraz powiązanie z systemem, który jest właścicielem rekordu. Właściwe dane biometryczne są logicznie związane, a ich szablony obsługuje wspólna usługa sBMS.

CIR nie przechowuje całego uzasadnienia odmowy wizy, zeznań azylowych, historii przekroczeń, treści wyroku ani pełnego ostrzeżenia SIS jako jednego wspólnego dossier.

Zakres jest celowo ograniczony do identyfikacji. Użytkownik przechodzi do źródła tylko wtedy, gdy ma do niego uprawnienie.

Systemy źródłowe

CIR agreguje przewidziane dane z EES, VIS, ETIAS, Eurodac i ECRIS‑TCN w dwóch równoległych ramach interoperacyjności dotyczących granic, wiz, policji i sądownictwa.

SIS pozostaje odrębny ze względu na swoją architekturę, lecz uczestniczy w wykrywaniu wielokrotnych tożsamości i współpracuje z MID oraz sBMS.

W 2026 r. nie każdy system docelowy jest w tej samej fazie operacyjnej. ETIAS i ECRIS‑TCN nie powinny być przedstawiane jako pełne źródła produkcyjne przed ich uruchomieniem.

Raport o wyniku powinien wskazać aktywne źródła w dacie, a nie docelowy katalog z rozporządzenia.

Logiczne oddzielenie danych

Rekordy CIR pozostają logicznie rozdzielone według systemu, z którego pochodzą. To znaczy, że wspólna infrastruktura nie nadaje każdemu użytkownikowi wspólnego prawa odczytu.

Policjant uprawniony do identyfikacji może otrzymać ograniczoną odpowiedź, ale nie pełny wniosek azylowy. Konsulat nie otrzymuje treści ECRIS‑TCN poza procesem przewidzianym prawem.

Warstwa autoryzacji, cel zapytania i źródło muszą być egzekwowane technicznie. Sama obietnica w instrukcji nie wystarcza.

Eksport łączący dane z kilku źródeł tworzy nowy zbiór ryzyka i wymaga osobnej podstawy.

Rekord tożsamości a dossier źródłowe

CIR przechowuje rdzeń potrzebny do ustalenia, że osoba występuje w źródle. Dossier źródłowe zawiera zdarzenia i decyzje właściwe dla systemu.

Przykładowo CIR może wskazać dane tożsamości z VIS, ale szczegóły wniosku i decyzji wizowej pozostają w VIS. Z Eurodac pochodzi zestaw tożsamości, a kategoria migracyjna i zdarzenie są oceniane w Eurodac.

Brak pola w CIR nie dowodzi, że nie istnieje ono w źródle. Z kolei prezentacja zestawu nie uprawnia do pobrania pełnego dossier.

Wartość dowodowa wymaga pozyskania potwierdzenia z odpowiedniego systemu, jeżeli teza dotyczy zdarzenia, a nie tylko tożsamości.

Unikalny identyfikator

Każdy zestaw otrzymuje referencję pozwalającą powiązać go z rekordem źródłowym. Techniczny identyfikator nie jest europejskim numerem osobistym nadawanym człowiekowi na całe życie.

Jedna osoba może mieć kilka zestawów w różnych systemach, które MID łączy odpowiednim typem linku. CIR nie powinien arbitralnie scalać ich w jeden nieodwracalny rekord.

Usunięcie danych ze źródła prowadzi do usunięcia odpowiadających elementów zgodnie z prawem. Nieaktywny identyfikator nie może być ponownie użyty dla innej osoby.

W aktach identyfikator techniczny powinien występować razem ze źródłem i datą.

Biometria i sBMS

CIR współpracuje ze wspólną usługą porównywania danych biometrycznych. Repozytorium przechowuje dane i referencje, natomiast sBMS przechowuje szablony potrzebne do wyszukiwania.

Odciski i obrazy twarzy pochodzą z systemów źródłowych. Jakość błędnej próbki nie poprawia się przez przeniesienie do wspólnej usługi.

Zapytanie może być identyfikacją 1:N albo weryfikacją. Kandydaci wymagają oceny według procedury danego celu.

Szablon jest reprezentacją matematyczną, nie neutralnym numerem. Podlega ochronie i retencji powiązanej z danymi źródłowymi.

Europejski Portal Wyszukiwania

ESP jest warstwą, przez którą uprawniony użytkownik może jednym zapytaniem przeszukać odpowiednie systemy oraz CIR. Portal kieruje komunikaty i zbiera oznaczone wyniki.

CIR jest źródłem danych tożsamości, a ESP narzędziem wyszukiwania. Nie należy używać skrótów zamiennie.

Awaria portalu nie musi oznaczać awarii repozytorium. Prawo i instrukcja mogą pozwolić na bezpośrednie odpytanie źródła w określonym trybie.

W logu trzeba zachować zapytanie portalowe i odpowiedzi poszczególnych źródeł.

Detektor wielokrotnych tożsamości

MID analizuje, czy dane nowego albo aktualizowanego rekordu są powiązane z innymi rekordami. Tworzy linki wskazujące zgodność, możliwą zgodność albo różne relacje tożsamości.

CIR przechowuje zestawy, na których MID operuje. Samo repozytorium nie nadaje etykiety „oszust”.

Link może wymagać ręcznej weryfikacji przez właściwy organ, w tym jednostkę ETIAS albo biuro SIRENE. Wynik jest aktualizowany po analizie.

Legalne podwójne obywatelstwo, zmiana nazwiska i błąd administracyjny nie mogą prowadzić do niekorzystnej decyzji bez wyjaśnienia.

Identyfikacja osoby o nieznanej tożsamości

Prawo przewiduje dostęp do CIR dla identyfikacji, jeżeli policja napotyka osobę, która nie potrafi, odmawia albo nie może wiarygodnie wykazać tożsamości, oraz gdy spełnione są warunki krajowe.

Organ może użyć odcisków lub twarzy w celu znalezienia pasującego zestawu. Wynik powinien ograniczyć się do danych potrzebnych do identyfikacji i wskazania źródła.

Nie jest to furtka do sprawdzania każdego uczestnika demonstracji. Konieczność i proporcjonalność muszą wynikać z konkretnej sytuacji.

Po ustaleniu tożsamości dalszy dostęp do dossier wymaga osobnej podstawy. Funkcjonariusz nie powinien rozszerzać celu automatycznie.

Identyfikacja ofiary i osoby niezdolnej do działania

CIR może pomóc ustalić tożsamość nieprzytomnej osoby, ofiary katastrofy, dziecka albo osoby z problemami komunikacji, jeżeli warunki prawne są spełnione.

Pierwotnym celem jest ochrona i prawidłowa identyfikacja, nie postępowanie przeciwko tej osobie. Zakres udostępnienia rodzinie zależy od prawa i bezpieczeństwa.

Wynik biometryczny wymaga potwierdzenia, zwłaszcza przy uszkodzeniu twarzy lub fragmentarycznych odciskach.

Dokumentacja medyczna pozostaje odrębna. CIR nie powinien otrzymywać diagnozy tylko dlatego, że pomógł w nazwisku.

Dostęp w postępowaniu policyjnym

Identyfikacyjny dostęp do CIR i dostęp śledczy do systemu źródłowego to dwa różne tryby. Pierwszy odpowiada na pytanie „kim jest osoba”, drugi może dotyczyć poważnego przestępstwa.

Organ zapisuje podstawę, cel, parametry i to, czy osoba była obecna. Zapytanie nie powinno być wykonywane dla wygody zamiast zwykłego sprawdzenia dokumentu.

Po odpowiedzi funkcjonariusz otrzymuje tylko dozwolone dane. Jeżeli potrzebuje historii granicznej lub wniosku wizowego, uruchamia procedurę EES albo VIS.

Łączenie wyników kilku źródeł w analizę powinno być jawne i kontrolowane.

Wykorzystanie przez Policję

Policja jest użytkownikiem CIR przede wszystkim w przewidzianym trybie identyfikacyjnym oraz jako organ korzystający z interoperacyjności w poważnych sprawach.

Repozytorium może pomóc przy osobie NN, cudzym dokumencie, kilku tożsamościach lub rozbieżności biometrycznej. Nie jest jednak krajowym rejestrem legitymowań.

W notatce trzeba wskazać, które dane zwrócił CIR, z którego systemu pochodziły i co potwierdził funkcjonariusz.

Stwierdzenie „figuruje w CIR” nie powinno być używane jak informacja o karalności. Może oznaczać zwykły wniosek wizowy lub przekroczenie granicy.

CIR a ECRIS‑TCN

ECRIS‑TCN ma wskazywać państwa posiadające informacje o skazaniach obywateli państw trzecich. CIR będzie przechowywał jego przewidziany zestaw tożsamości po operacyjnym uruchomieniu źródła.

Znalezienie zestawu nie ujawnia treści wyroku. Właściwa informacja karna jest wymieniana przez ECRIS z państwem skazania.

Nie należy przed startem ECRIS‑TCN twierdzić, że CIR ma pełną europejską historię karną. Architektura docelowa i działanie produkcyjne są różne.

Korekta danych osoby skazanej wymaga spójnej aktualizacji w systemach sprawiedliwości i CIR.

CIR a SIS

SIS nie składa całego swojego katalogu do CIR. Współpracuje z sBMS, ESP i MID w zakresie określonym regulacjami.

Ostrzeżenie SIS zawiera żądane działanie. CIR przechowuje dane tożsamości z innych źródeł i nie zamienia się przez link w ostrzeżenie.

Biuro SIRENE może uczestniczyć w ręcznej weryfikacji linków związanych z SIS i otrzymać potrzebny dostęp. Nadal działa w ramach konkretnego wpisu.

Policjant powinien odróżnić trafienie SIS od wyniku identyfikacyjnego CIR.

Status operacyjny w 2026 r.

Komisja Europejska i eu‑LISA potwierdziły wejście CIR do eksploatacji 12 czerwca 2026 r. razem z nowym Eurodac i ESP.

To uruchomienie nie oznacza jednoczesnej pełnej gotowości wszystkich systemów docelowych. ETIAS ma rozpocząć operacje później, a ECRIS‑TCN pozostaje odrębnym wdrożeniem.

CIR wypełnia się i rozwija wraz z kolejnymi źródłami oraz falami interoperacyjności. W pierwszych miesiącach szczególnie ważne są jakość i procedury awaryjne.

Artykuł oraz opinia powinny podawać datę stanu funkcji, ponieważ architektura w 2027 r. będzie szersza niż w czerwcu 2026 r.

Jakość danych

Kontrole automatyczne badają format, kompletność i zgodność. Nie stwierdzają, czy dokument jest autentyczny i czy deklaracja jest prawdziwa.

Wykryta rozbieżność trafia do właściciela źródła. Operator CIR nie powinien tworzyć „najbardziej prawdopodobnej” wersji ze średniej kilku rekordów.

Mierniki obejmują błędne połączenia, brak synchronizacji, słabą biometrię i czas korekty. Sama liczba rekordów nie jest miarą jakości.

Osoba dotknięta błędem powinna otrzymać skuteczną naprawę we wszystkich powiązanych komponentach.

Retencja

Dane w CIR są przechowywane tak długo, jak odpowiadające im dane w systemie źródłowym. Repozytorium nie powinno zachowywać osieroconego zestawu po legalnym usunięciu źródła.

Różne systemy mają różne okresy i zdarzenia uruchamiające usunięcie. Nie istnieje jeden wspólny termin dla całego człowieka.

Logi CIR mają odrębny cel kontroli legalności i bezpieczeństwa. Nie są dodatkowym dossier tożsamości.

Zabezpieczenie danych dla postępowania wymaga właściwego trybu w systemie źródłowym. Screenshot nie może przedłużyć retencji bez podstawy.

Prawa osoby

Osoba ma prawo do informacji, dostępu, sprostowania i usunięcia danych przetwarzanych niezgodnie z prawem. Realizacja przebiega przez właściwy organ systemu źródłowego.

Nie można wymagać, by sama wiedziała, czy błąd powstał w CIR, VIS czy Eurodac. Organ przyjmujący powinien pomóc zidentyfikować źródło.

Wynik MID i linki mogą powodować niekorzystne skutki, dlatego osoba musi mieć możliwość zakwestionowania błędnego połączenia.

Ograniczenia dla ochrony dochodzenia podlegają podstawie i nadzorowi. Interoperacyjność nie tworzy ogólnej tajności danych.

Ochrona danych

Centralizacja zestawów zwiększa skutki błędu i naruszenia. Projekt opiera ochronę na logicznym oddzieleniu, kontrolowanym dostępie, szyfrowaniu i logach.

Dane biometryczne oraz dokumenty nie powinny być eksportowane do lokalnych narzędzi bez konieczności. Każda kopia osłabia centralną korektę.

Użytkownik widzi tylko wynik zgodny ze swoją rolą. Administrator aplikacji nie powinien automatycznie posiadać prawa do treści.

Ocena skutków musi obejmować ryzyko dyskryminacji osób o wielu legalnych tożsamościach i osób migrujących.

Bezpieczeństwo i audyt

Każde zapytanie zapisuje użytkownika, organ, czas, cel, parametry, źródła i odpowiedź. Dostęp identyfikacyjny powinien wskazywać spełnioną przesłankę.

System wykrywa serie biometrycznych wyszukań, zapytania poza zadaniem, eksporty oraz nietypowe korekty. Kontrola obejmuje konta techniczne.

Awaria synchronizacji wymaga oznaczenia niepełności. Użytkownik nie powinien otrzymać pustego wyniku jako pewnego „nie figuruje”.

Testy muszą korzystać z danych testowych. Produkcyjne wyszukanie prawdziwej osoby „dla szkolenia” jest naruszeniem.

Wartość dowodowa

Wynik CIR potwierdza, że w określonym momencie system źródłowy dostarczał dany zestaw tożsamości. Nie dowodzi zdarzeń, których CIR nie przechowuje.

Do akt potrzebne są identyfikator, źródło, czas, parametry, tryb biometryczny, status MID i historia korekt. Sam ekran z nazwiskiem jest niepełny.

Jeżeli teza dotyczy wizy, wjazdu, azylu albo skazania, należy pozyskać właściwy rekord z VIS, EES, Eurodac lub ECRIS.

W opinii należy unikać sformułowania „centralna baza potwierdziła”. Trafniej: „CIR zwrócił zestaw tożsamości pochodzący z systemu X”.

Awarie i dostęp bezpośredni

Niedostępność ESP może pozostawić możliwość bezpośredniego odpytania uprawnionego systemu lub CIR zgodnie z regulacją i procedurą.

Tryb awaryjny nie rozszerza zakresu danych. Użytkownik nadal musi mieć prawo do źródła.

Po przywróceniu systemu trzeba uzgodnić zapytania i wyniki. Brak odpowiedzi w czasie awarii nie powinien pozostać negatywnym ustaleniem w aktach.

Log awaryjny zachowuje czas, operatora, kanał i powód. Późniejszy wynik jest oznaczony jako uzyskany później.

Typowe nieporozumienia

„CIR jest jedną bazą wszystkich Europejczyków”. Obejmuje określone dane z określonych systemów i przede wszystkim obywateli państw trzecich objętych ich zakresem.

„CIR zawiera pełne dossier”. Przechowuje rdzeń tożsamości; szczegóły pozostają w źródłach.

„Każdy policjant może identyfikować każdego”. Dostęp ma przesłanki, role i log.

„Kilka rekordów dowodzi oszustwa”. Wielokrotna legalna tożsamość i zmiana nazwiska są możliwe.

„CIR i ESP to jedno”. CIR przechowuje dane, ESP kieruje wyszukiwanie.

„CIR przechowuje pełną biometrię”. Szablony wyszukiwawcze obsługuje sBMS, a źródła zachowują swoje dane.

„Wynik CIR jest dowodem skazania”. ECRIS‑TCN wskazuje państwo skazania, a treść uzyskuje się przez ECRIS.

„Od czerwca 2026 r. wszystkie źródła są kompletne”. Kolejne systemy i funkcje wchodzą etapami.

Lista kontrolna

  1. W jakiej dacie wykonano zapytanie i jakie źródła były wtedy czynne?
  2. Czy użytkownik miał właściwą rolę i cel?
  3. Czy chodziło o zwykłą weryfikację, czy identyfikację osoby NN?
  4. Jaka przesłanka krajowa pozwalała na dostęp?
  5. Jakie dane wejściowe i biometria zostały użyte?
  6. Czy wynik pochodził z VIS, EES, Eurodac, ETIAS czy ECRIS‑TCN?
  7. Czy źródło było operacyjne i aktualne?
  8. Czy wynik był kandydatem, czy potwierdzoną zgodnością?
  9. Czy MID wskazał wielokrotną tożsamość?
  10. Czy przeprowadzono ręczną weryfikację linku?
  11. Czy legalna zmiana danych wyjaśnia różnicę?
  12. Czy potrzebne zdarzenie pozyskano z systemu źródłowego?
  13. Czy korekta trafiła do właściciela źródła?
  14. Czy zachowano identyfikator, czas, log i historię?
  15. Czy osoba może zakwestionować błędne połączenie?
  16. Czy raport nie nazywa CIR kartoteką karną ani superrejestrem?

Źródła