Inwigilacja na masową skalę, czyli wgląd do komórek Polaków

Resorty siłowe wciąż chciałyby wiedzieć, do kogo piszemy e-maile czy wiadomości przez internet. Próby wywalczenia dodatkowych uprawnień blokują prace nad przepisami dotyczące komunikacji elektronicznej.

Z informacji przedstawionej Senatowi przez ministra sprawiedliwości wynika, że policja i inne służby przetworzyły w ubiegłym roku ponad 1,83 mln naszych danych. To wprawdzie ok. 1,5 proc. mniej niż pozyskały w 2021 r. (1,86 mln), ale o prawie 35 proc. więcej niż pięć lat temu (1,36 mln w 2018 r.). Nie będzie przesadą mówienie o inwigilacji na masową skalę.

– 1,8 mln danych to dużo, bardzo dużo. Przeliczając to na 38 mln obywateli, można powiedzieć, że w najgorszym razie mogło to dotyczyć prawie 5 proc. z nas – mówi dr Paweł Litwiński, adwokat i partner w kancelarii Barta Litwiński.

Wśród pozyskanych przez służby danych dominują dane telekomunikacyjne: o tym kto, kiedy, z jakiego miejsca i z jakim numerem łączył się przez telefon, rozmawiając lub wysyłając wiadomość tekstową. Dostęp do nich jest najłatwiejszy. Dzięki obowiązującej od 2016 r. nowelizacji ustawy o Policji oraz niektórych innych ustaw (t.j. Dz.U. z 2016 r. poz. 147), zwanej ustawą inwigilacyjną, służby nie muszą nikogo pytać o zgodę ani wnioskować o przekazanie informacji – otrzymują je za pomocą kilku kliknięć przez tzw. bezpieczne łącze z firmą telekomunikacyjną.

Wojciech Klicki, prawnik z Fundacji Panoptykon, przestrzega przed wyciąganiem wniosków z samej liczby przetworzonych danych. – Z jednej strony można to nazwać wielką inwigilacją, a z drugiej: bronić wzrostu np. zmianami w charakterze przestępstw – zauważa. – Problem nie polega jednak na tym, czy służby uzyskały dostęp do 1 mln czy 5 mln danych, lecz w tym, na jakiej zasadzie się to odbywa – podkreśla.

Sąd nie wychwyci

Resort sprawiedliwości podaje, że w ubiegłym roku sądy okręgowe i wojskowe sądy okręgowe przeprowadziły 241 kontroli dostępu służb do danych – najwięcej od pięciu lat. Żadna nie miała negatywnego wyniku. Rok wcześniej kontroli było 136, z czego dwie zakończyły się negatywnie. Dwa negatywne rezultaty odnotowano też w 2018 r., zaś w latach 2019–2020 po jednym.

Wygląda więc na to, że wszystko jest w porządku?

– Wręcz przeciwnie – mówi Wojciech Klicki. – Brak stwierdzenia nieprawidłowości nie oznacza, że ich nie było, tylko raczej to, że kontrola sądowa jest fikcyjna. Dlatego jeżeli służby pozyskają dane w sposób nadmiarowy, niepotrzebnie, to jako obywatele nie możemy być spokojni, że sąd taki przypadek wychwyci. Niestety, dużo łatwiej jest zaakceptować sprawozdanie policji, niż dokładnie badać wszystkie przypadki sięgania po dane – stwierdza.

Drugim wymiarem kontroli nad dostępem służb do naszych danych jest informowanie po tym fakcie osób, które były poddane inwigilacji. – Domaganie się takich informacji nie jest wymysłem obrońców praw człowieka, tylko wynika z serii orzeczeń Trybunału Sprawiedliwości Unii Europejskiej, który w kontekście danych telekomunikacyjnych stwierdził, że należy informować o dostępie służb do danych – podkreśla prawnik z Panoptykonu.

Taka tradycja

Także Paweł Litwiński uważa, że konieczna jest zmiana przepisów.

– Reguły dostępu do danych zdecydowanie trzeba zmienić, wprowadzając większą kontrolę – uważa dr Litwiński. – Obecnie możemy poznać tylko wolumen przetworzonych danych. Brak nad tym jednak realnej kontroli. TSUE od lat konsekwentnie orzeka, że takie rozwiązania, jak obowiązujące w Polsce, są sprzeczne z unijnymi, a Polska nieodmiennie twierdzi, że to domena prawa krajowego – wskazuje prawnik.

Ministrowie walczą o dostęp

Zmiany prawa chcą także służby. Tylko że w przeciwną stronę: dostęp do danych ma być jeszcze szerszy. Jak pisaliśmy podczas prac nad rządowym projektem ustawy – Prawo komunikacji elektronicznej (PKE), obowiązek retencji danych o połączeniach i osobach je wykonujących, dotyczący obecnie operatorów telekomunikacyjnych, miał zostać rozszerzony na wszystkich przedsiębiorców komunikacji elektronicznej – np. świadczących usługi poczty internetowej czy komunikatorów (nie chodziło jednak o treść wiadomości, tylko o to, skąd i dokąd są one wysyłane). Po ostrej krytyce społecznej ten przepis skreślono w trakcie prac sejmowych.

Służby o nim nie zapomniały. Po tym, jak wiosną bieżącego roku projekt PKE wycofano z Sejmu do dalszych prac rządowych, resorty siłowe ponowiły swoje żądania. – Pojawiły się zasadnicze uwagi ze strony ministra obrony narodowej i ministra koordynatora służb specjalnych, którzy stwierdzili, że rozszerzenie definicji podmiotów, które będą podlegały obowiązkom m.in. w zakresie kontroli operacyjnej, powinny dotyczyć pełnego spektrum, także przedsiębiorców komunikacji elektronicznej – mówi nam minister cyfryzacji Janusz Cieszyński.

Pat wokół tej sprawy zahamował prace nad PKE. W tej kadencji – jak wyjaśnia minister Cieszyński – ze względu na kalendarz sejmowy projekt nie trafi już na Wiejską.

– Ale pomysł rozszerzenia uprawnień powróci – przewiduje Paweł Litwiński. – Szczególnie że nurt bezpieczeństwa narodowego, definiowanego zależnie od bieżących potrzeb, będzie się tylko umacniał – dodaje.

Wbrew unijnym przepisom

Trybunał Sprawiedliwości Unii Europejskiej wielokrotnie już stwierdzał, że prawo unijne nie zezwala na wprowadzenie uogólnionego (czyli takiego, jak jest w Polsce) obowiązku przechowywania danych przez operatorów oraz udostępnianie ich służbom bez kontroli sądu czy innego niezależnego organu. Polska od lat ignoruje to orzecznictwo, choć nasz rząd doskonale zdaje sobie sprawę z tego, że łamie unijne prawo. Przy okazji opiniowania projektu PKE stwierdziła to wprost podsekretarz stanu w KPRM ds. Unii Europejskiej Karolina Rudzińska. W przesłanym do Sejmu stanowisku napisała, że ustanawiany przez państwa członkowskie obowiązek „powszechnego i niezróżnicowanego” przechowywania danych dotyczących korzystania przez użytkowników z usług komunikacji elektronicznej jest konsekwentnie uznawany przez TSUE za niezgodny z prawem UE.

Przepisy o obowiązkowej retencji danych po raz pierwszy TSUE zakwestionował już w 2014 r. (sprawa C-293/12). To wówczas stwierdził nieważność dyrektywy 2006/24/WE, na której podstawie zobowiązywano operatorów do przechowywania i udostępniania danych. Potem wielokrotnie opowiadał się przeciwko regulacjom przewidującym ogólny i niezróżnicowany obowiązek retencji (np. wyrok z 5 kwietnia 2022 r. w sprawie C-140/20). Co więcej, podważał nawet mocno złagodzone w poszczególnych krajach regulacje. Przykładowo w Niemczech skrócono okres przechowywania danych do 4 tygodni (dane lokalizacyjne) i 10 tygodni (pozostałe dane, np. billingi), ale i te przepisy zostały uznane przez TSUE za niezgodne z unijnym prawem (wyrok z 20 września 2022 r. w sprawie C-793/19).

TSUE dopuszcza obowiązek gromadzenia danych, ale tylko w indywidualnych sprawach w celu zwalczania poważnej przestępczości. Zostało to też obwarowane dodatkowymi warunkami. Dostęp do danych jest możliwy po uzyskaniu zgody sądu lub innego niezależnego organu, a inwigilowana osoba powinna zostać o tym poinformowana (m.in. połączone sprawy C-203/15 oraz C-698/15). ©℗