Subskrybuj nas na Youtube
Zapisz się na newsletter
Retencja danych to rutynowe zatrzymywanie przez operatorów informacji o tym, kto, z kim i kiedy łączył się (lub próbował połączyć) za pomocą środków komunikacji elektronicznej. Przechowywane są również dane dotyczące lokalizacji danej osoby czy IP urządzenia. Organy państwa – służby specjalne, policja, prokuratura – mogą wykorzystywać te informacje nie tylko przy wykrywaniu poważnych przestępstw, ale także w tzw. celach prewencyjnych.
W ocenie Rzecznika Praw Obywatelskich zasadniczym problemem, jaki pojawia się w polskim systemie retencji danych, jest zaprojektowanie go jakby chodziło o najpoważniejsze zagrożenia dla państwa, choć w praktyce używa się go dużo szerzej. Przepisy pozwalają na uogólnioną i niezróżnicowaną retencję danych o ruchu i danych o lokalizacji z założenia, jako "model wyjściowy".
Problematyczne są także same zasady dostępu służb do danych retencyjnych. W tym kontekście wskazał m.in. możliwość dostępu do danych dotyczących osób, które nie są w żaden sposób zaangażowane w działalność przestępczą, brak realnego nadzoru zewnętrznego nad dostępem do danych o ruchu, danych o lokalizacji, itp. - w formie kontroli sądowej następczej.
W konsekwencji nie jest dalekie od prawdy stwierdzenie, że każdy może zostać poddany "soft" inwigilacji, niezależnie od jakiegokolwiek związku z działalnością przestępczą, a system został zaprojektowany tak, by jednostka nie dowiedziała się o pozyskaniu jej danych telekomunikacyjnych – podkreślił.
Dlatego też opracował propozycje zmian, które przedstawił w piśmie do ministra cyfryzacji, ministra sprawiedliwości-Prokuratora Generalnego, ministra spraw wewnętrznych i administracji oraz ministra koordynatora służb specjalnych.
Zmiany w przepisach o retencji danych niedotyczących treści
Retencja danych niedotyczących treści (czyli tzw. metadata) to zbieranie i przechowywanie informacji teleinformatycznych, ale bez dostępu do samej treści rozmów czy wiadomości. To właśnie takie informacje jak: numer telefonu, adres IP, data i godzina, lokalizacja, rodzaj korzystanego urządzenia.
W ocenie RPO konieczne jest rozbicie ich w prawie na odrębne kategorie, tj. dane o abonencie, dane o IP, dane o ruchu (dane transmisyjne) i dane o lokalizacji. Jednocześnie, jak zaznacza, niedopuszczalna jest uogólniona i niezróżnicowana retencja danych o ruchu i danych o lokalizacji. W odniesieniu do danych o abonencie i danych o IP w jego opinii dopuszczalna jest uogólniona i niezróżnicowana retencja pod warunkiem, że przepisy wprost wskazują cele zatrzymywania danych, okres ich przechowywania.
Konieczne jest wskazanie celów retencji danych niedotyczących treści. Wprowadzając przepisy konkretyzujące cele retencji danych należy uwzględnić "hierarchię celów", na którą zwraca uwagę TSUE. Celem o najwyższej randze jest ochrona bezpieczeństwa narodowego - bezpieczeństwo powszechne i zwalczanie poważnej przestępczości są celami istotnymi, ale znajdującymi się niżej w hierarchii celów; dostęp do danych o lokalizacji i ruchu/transmisyjnych nie powinien być możliwy w sprawach, które należą do kategorii "drobnej" przestępczości – wyjaśnił RPO.
Zmiany w przepisach o dostępie do danych retencyjnych
Kolejny obszar dotyczący danych retencyjnych, który wymaga zmiany według rzecznika, to dostęp do nich. Jak czytamy, dostęp do danych o ruchu i danych o lokalizacji powinien być możliwy wyłącznie po uzyskaniu uprzedniej zgody niezależnego organu.
Kontrola uprzednia powinna mieć merytoryczny charakter, a organ, który podejmuje decyzję powinien mieć możliwość odmówić dostępu albo ograniczyć zakres żądania. W wypadkach niecierpiących zwłoki służby powinny móc niezwłocznie zabezpieczyć dane lokalizacyjne i dane transmisyjne/dane o ruchu, ale konieczna jest następcza zgoda niezależnego organu – podkreśla RPO.
Przepisy o dostępie do danych retencyjnych powinny zawierać przesłanki ograniczające możliwość "łatwego" sięgania po nie. Należałoby dodać przesłanki:
- subsydiarności (pozwolenie na użycie, gdy inne, mniej inwazyjne środki są albo okazałyby się bezskuteczne),
- proporcjonalności
- konieczności
- oraz wprowadzenie wymogu, by osoba, o dane której służby się zwracają, miała związek z popełnieniem/popełnianiem przestępstwa.
Ponadto, w odniesieniu do spraw, gdy służby mogą uzyskać dostęp do danych retencyjnych, konieczne jest wprowadzenie ograniczeń przedmiotowych – zwłaszcza w ustawie o CBA.
Służby nie mogą sięgać po dane niedotyczące treści – zwłaszcza dane o lokalizacji i dane o ruchu – w związku z oceną partnerstwa publiczno-prywatnego czy kontrolą oświadczeń majątkowych. Co do zasady służby mogłyby pozyskać te dane wyłącznie w sprawach zagrożonych karą co najmniej 3 lat pozbawienia wolności oraz w sprawach zagrożonych karą łagodniejszą, w których przestępstwo popełniono przy wykorzystaniu środków komunikowania się na odległość/przy wykorzystaniu Internetu – ocenia RPO.
Zwiększenie kontroli sądowej?
Kolejną proponowaną zmianą jest wzmocnienie kontroli sądowej. Bez zgody organu sądowego dostęp do danych retencyjnych byłby niemożliwy. Jest to równoznaczne z usunięciem ze wszystkich ustaw trybu dostępu do danych poza kontrolą sądową.
Pozostaje jednak kwestia kształtu kontroli sądowej następczej. Z rozwiązań prawnomiędzynarodowych wynika, że konieczna byłaby uprzednia kontrola dostępu do danych lokalizacyjnych i danych transmisyjnych/danych o ruchu. Następcza kontrola sądowa mogłaby znaleźć zastosowanie wyłącznie w odniesieniu do danych o abonencie i danych o IP;
W ocenie RPO, należy wprowadzić pełną rozliczalność dostępu do danych retencyjnych, w szczególności w sytuacji korzystania ze "stałego łącza", czyli dostępu bez zaangażowania dostawców usług łączności. Przepisy powinny też wprowadzać obowiązek dokumentowania przez służby ścieżki decyzyjnej, która doprowadziła do zastosowania narzędzia jakim jest dostęp do danych. "ścieżki decyzyjnej" po stronie służb,
Konieczne jest wprowadzenie gwarancji chroniących tajemnice prawnie chronione, zwłaszcza tajemnicę dziennikarską i obrończą dla zapobieżenia obejścia ochrony tych tajemnic przez sięganie po dane o ruchu i dane o lokalizacji (np. w celu identyfikacji źródeł dziennikarskich albo ustalenia kontaktów obrońcy z klientem) – wskazuje RPO.
Każdy wie, co się dzieje z jego danymi?
Obecnie obywatel, którego dane retencyjne są sprawdzane przez organy państwa, nie jest o tym informowany. Dlatego też konieczne jest wprowadzenie realnego mechanizmu notyfikacji jednostki o tym, że jej dane zostały pozyskane przez policję lub służby specjalne.
Jednostka byłaby o tym informowana, np. po upływie roku albo dwóch od pozyskania jej danych. W sprawach bezpieczeństwa narodowego możliwe byłoby wyłączenie obowiązku notyfikacji – ocenia RPO.
Kolejną zaproponowaną nowością byłoby wprowadzenie standardów raportowania. Sprawozdania, oprócz danych obecnie prezentowanych, powinny obejmować:
- liczbę przypadków, w których uprawnione organy uzyskiwały od przedsiębiorców telekomunikacyjnych wyłącznie dane osobowe użytkownika;
- liczbę przypadków (rozumianych jako liczbę numerów telefonicznych lub numerów IP), w których uprawnione organy uzyskiwały dane telekomunikacyjne (z wyłączeniem ustaleń danych abonenckich) z podzieleniem na odpowiednie kategorie (np. dane transmisyjne, dane o lokalizacji);
- łączną liczbę przypadków, w których wniosek uprawnionego podmiotu nie mógł być zrealizowany;
- liczbę osób, których dane telekomunikacyjne były pozyskiwane i wykorzystywane przez uprawnione organy (z wyłączeniem ustaleń danych abonenckich).
Na procedowanie czeka projekt nowelizacji dotyczący kontroli operacyjnej
Z początkiem kwietnia do Sejmu trafił rządowy projekt ustawy o rozszerzeniu nadzoru sądowego nad kontrolą operacyjną. Propozycja zakłada wprowadzenie obowiązku informowania sądu o wynikach kontroli operacyjnej po jej zakończeniu. Jednak na żądanie organu sądowego również o przebiegu tej kontroli w trakcie jej trwania. Wtedy też sąd by otrzymywał zebrane w toku kontroli materiały.
Zgodnie z proponowaną zmianą sąd i prokurator będą mieli prawo do przerwania stosowania kontroli operacyjnej w każdym czasie po uzyskaniu informacji o jej przebiegu. Dodatkowo nie tylko prokurator, ale również sąd, będzie musiał być poinformowany o zniszczeniu materiałów, których wykorzystanie w postępowaniu karnym jest niedopuszczalne. Sąd uzyska też informację o zniszczeniu materiałów, które nie stanowią informacji potwierdzającej zaistnienie przestępstwa.
Kontrola operacyjna w polskim prawie to działania służb polegające na niejawnym uzyskiwaniu informacji, w tym treści rozmów, korespondencji oraz obrazu i dźwięku. Stosuje się ją w celu zapobiegania lub wykrywania poważnych przestępstw. Polega ona na:
- uzyskiwaniu i utrwalaniu treści rozmów prowadzonych przy użyciu środków technicznych, w tym za pomocą sieci telekomunikacyjnych;
- uzyskiwaniu i utrwalaniu obrazu lub dźwięku osób z pomieszczeń, środków transportu lub miejsc innych niż miejsca publiczne;
- uzyskiwaniu i utrwalaniu treści korespondencji, w tym korespondencji prowadzonej za pomocą środków komunikacji elektronicznej;
- uzyskiwaniu i utrwalaniu danych zawartych w informatycznych nośnikach danych, telekomunikacyjnych urządzeniach końcowych, systemach informatycznych i teleinformatycznych;
- uzyskiwaniu dostępu i kontroli zawartości przesyłek.
