Biuletyn Informacji Publicznej RPO

• Dane telekomunikacyjne obywateli - w tym billingi, dane o lokalizacji, dane IP czy dane abonenckie - dostarczają organom państwa precyzyjnych informacji o życiu danej osoby 
• Mogą być one przechowywane i w dogodnym momencie użyte przeciwko jednostce, co może być dla niej równie dolegliwe, jak niejawna inwigilacja obejmująca dostęp do treści komunikatów czy rozmów
• Rzecznik Praw Obywatelskich występuje do Ministra Cyfryzacji, Ministra Sprawiedliwości-Prokuratora Generalnego, Ministra Spraw Wewnętrznych i Administracji oraz Ministra Koordynatora Służb Specjalnych o rozważenie zainicjowania odpowiednich zmian legislacyjnych
• Konieczne jest m.in. wprowadzenie realnego mechanizmu informowania jednostki o pozyskaniu jej danych - po upływie roku albo dwóch od tego faktu

Zmiany wymagałyby nowelizacji: Kodeksu postępowania karnego oraz ustaw: Prawo komunikacji elektronicznej, o Policji, o Straży Granicznej, o Agencji Bezpieczeństwa Wewnętrznego i Agencji Wywiadu, o Centralnym Biurze Antykorupcyjnym, o Służbie Wywiadu Wojskowego i Służbie Kontrwywiadu Wojskowego, o Krajowej Administracji Skarbowej, o Żandarmerii Wojskowej i o Służbie Ochrony Państwa, a także wznowienia prac nad rozporządzeniem wykonawczym do art. 49 ust. 2 Prawa komunikacji elektronicznej. 

W tym kontekście Marcin Wiącek przypomina wyrok Europejskiego Trybunału Praw Człowieka z 28 maja 2024 r. w sprawie Pietrzak i Bychawska-Siniarska i inni przeciwko Polsce. W zasadniczej części odnosił się do problematyki kontroli operacyjnej i wadliwości systemowych w sferze niejawnej inwigilacji. Ten aspekt - w kontekście niezbędnych zmian prawa - RPO zaprezentował w wystąpieniu z 7 sierpnia 2025 r., wskazując niezbędne kierunki zmian. 

- Pracując nad implementacją tego wyroku ETPC, nie można pominąć problematyki retencji danych telekomunikacyjnych i dostępu do danych retencyjnych - podkreśla Marcin Wiącek w obecnym wystąpieniu do wicepremiera, ministra Krzysztofa Gawkowskiego oraz ministrów Waldemara Żurka, Marcina Kierwińskiego i Tomasza Siemoniaka.

Zasadniczym problemem – z perspektywy zgodności krajowych rozwiązań ustawowych z normami prawnymi wyższego rzędu – jest zaprojektowanie całego systemu retencji danych niejako na wzór standardu dopuszczalnego wyłącznie dla ochrony bezpieczeństwa narodowego. Przepisy pozwalają na uogólnioną i niezróżnicowaną retencję danych o ruchu i danych o lokalizacji z założenia, jako "model wyjściowy". 

Problematyczne jest także uregulowanie zasad dostępu do danych retencyjnych (pozyskiwanie w formie "stałego łącza", bez zaangażowania dostawców usług łączności, możliwość dostępu do danych dotyczących osób, które nie są w żaden sposób zaangażowane w działalność przestępczą), brak realnego nadzoru zewnętrznego nad dostępem do danych o ruchu, danych o lokalizacji, itp. - w formie kontroli sądowej następczej, w formie "społecznej" kontroli czy też w formie skarg indywidualnych, jeśli pozyskano dane konkretnej osoby. W konsekwencji nie jest dalekie od prawdy stwierdzenie, że każdy może zostać poddany "soft" inwigilacji, niezależnie od jakiegokolwiek związku z działalnością przestępczą, a system został zaprojektowany tak, by jednostka nie dowiedziała się o pozyskaniu jej danych telekomunikacyjnych.

W obszernym piśmie Rzecznik przedstawia szczegółowe problemy w trzech segmentach. 

Zmiany w przepisach o retencji danych niedotyczących treści

RPO m.in. wskazuje:

• należy "rozbić" dane niedotyczące treści na odrębne kategorie, tj. dane o abonencie, dane o IP, dane o ruchu (dane transmisyjne) i dane o lokalizacji;
• konieczna jest zmiana systemowa i odejście od uogólnionej i niezróżnicowanej retencji danych o lokalizacji, danych o ruchu, danych o IP i danych o abonencie na takich samych zasadach;
• niedopuszczalna jest uogólniona i niezróżnicowana retencja danych o ruchu i danych o lokalizacji;
• dopuszczalna jest uogólniona i niezróżnicowana retencja danych o abonencie i danych o IP pod warunkiem, że przepisy wprost wskazują cele zatrzymywania danych, okres ich przechowywania;
• konieczne jest wskazanie celów retencji danych niedotyczących treści. Wprowadzając przepisy konkretyzujące cele retencji danych należy uwzględnić "hierarchię celów", na którą zwraca uwagę TSUE. Celem o najwyższej randze jest ochrona bezpieczeństwa narodowego - bezpieczeństwo powszechne i zwalczanie poważnej przestępczości są celami istotnymi, ale znajdującymi się niżej w hierarchii celów; dostęp do danych o lokalizacji i ruchu/transmisyjnych nie powinien być możliwy w sprawach, które należą do kategorii "drobnej" przestępczości. 

Zmiany w przepisach o dostępie do danych retencyjnych

W ocenie RPO m.in.:

• dostęp do danych o ruchu i danych o lokalizacji powinien być możliwy wyłącznie po uzyskaniu uprzedniej zgody niezależnego organu. Kontrola uprzednia powinna mieć merytoryczny charakter, a organ, który podejmuje decyzję powinien mieć możliwość odmówić dostępu albo ograniczyć zakres żądania. W wypadkach niecierpiących zwłoki służby powinny móc niezwłocznie zabezpieczyć dane lokalizacyjne i dane transmisyjne/dane o ruchu, ale konieczna jest następcza zgoda niezależnego organu;
• przepisy o dostępie do danych retencyjnych powinny zawierać przesłanki ograniczające możliwość "łatwego" sięgania po dane retencyjne. Konieczne jest dodanie przesłanki subsydiarności (gdy inne, mniej inwazyjne środki są albo okazałyby się bezskuteczne), proporcjonalności i konieczności oraz wprowadzenie wymogu, by osoba, o dane której służby się zwracają, miała związek z popełnieniem/popełnianiem przestępstwa;
• w odniesieniu do spraw, gdy służby mogą uzyskać dostęp do danych retencyjnych, konieczne jest wprowadzenie ograniczeń przedmiotowych – zwłaszcza w ustawie o CBA. Służby nie mogą sięgać po dane niedotyczące treści – zwłaszcza dane o lokalizacji i dane o ruchu – w związku z oceną partnerstwa publiczno-prywatnego czy kontrolą oświadczeń majątkowych. Co do zasady służby mogłyby pozyskać te dane wyłącznie w sprawach zagrożonych karą co najmniej 3 lat pozbawienia wolności oraz w sprawach zagrożonych karą łagodniejszą, w których przestępstwo popełniono przy wykorzystaniu środków komunikowania się na odległość/przy wykorzystaniu Internetu. W sprawach o średniej społecznej szkodliwości, np. zagrożonych karą do 5 lat, można rozważyć ograniczenia w zakresie temporalnym żądania dostępu do danych o lokalizacji i danych o ruchu. Pozyskanie danych za rok w sprawach o średniej społecznej szkodliwości może być nadmiernie nieproporcjonalne;
• należy wzmocnić kontrolę sądową/organu sądowego. Konieczne jest usunięcie ze wszystkich ustaw trybu dostępu do danych poza kontrolą sądową. Jest jednak pytanie o kształt kontroli sądowej następczej. Z rozwiązań prawnomiędzynarodowych wynika, że konieczna byłaby uprzednia kontrola dostępu do danych lokalizacyjnych i danych transmisyjnych/danych o ruchu. Następcza kontrola sądowa mogłaby znaleźć zastosowanie wyłącznie w odniesieniu do danych o abonencie i danych o IP;
• konieczne jest wprowadzenie pełnej rozliczalności dostępu do danych retencyjnych, w szczególności w sytuacji korzystania ze "stałego łącza", tj. dostępu bez zaangażowania dostawców usług łączności.
• przepisy powinny wprowadzać obowiązek dokumentowania "ścieżki decyzyjnej" po stronie służb,
• konieczne jest wprowadzenie gwarancji chroniących tajemnice prawnie chronione, zwłaszcza tajemnicę dziennikarską i obrończą dla zapobieżenia obejścia ochrony tych tajemnic przez sięganie po dane o ruchu i dane o lokalizacji (np. w celu identyfikacji źródeł dziennikarskich albo ustalenia kontaktów obrońcy z klientem).

Zewnętrzna kontrola - kontrola społeczna, dostępu do danych retencyjnych oraz notyfikacja uzyskania dostępu do danych retencyjnych

W ocenie Rzecznika:

• konieczne jest wprowadzenie realnego mechanizmu notyfikacji jednostki o tym, że jej dane zostały pozyskane przez Policję lub służby. Jednostka byłaby o tym informowana, np. po upływie roku albo dwóch od pozyskania jej danych. W sprawach bezpieczeństwa narodowego możliwe byłoby wyłączenie obowiązku notyfikacji;
• konieczne jest pełne wdrożenie art. 17 dyrektywy 2016/680, czyli zapewnienie jednostce możliwości wykonywania praw w trybie pośrednim, gdy – z przyczyn dopuszczalnych w dyrektywie – ogranicza się jej prawo do informacji lub odmawia się informacji o przetwarzaniu/pozyskaniu danych osobowych. Tryb pośredni powinien polegać na tym, że niezależny organ (organ nadzorczy) dokonuje weryfikacji legalności i zasadności przetwarzania oraz informuje jednostkę co najmniej o tym, że weryfikacja została przeprowadzona i czy stwierdzono naruszenia, a także zapewnia skuteczny środek zaskarżenia;
• konieczne jest wprowadzenie standardów raportowania/sprawozdawczości, które pozwolą ocenić nie tylko skalę korzystania z danych retencyjnych. Sprawozdania, oprócz danych obecnie prezentowanych, powinny obejmować:

1. liczbę przypadków, w których uprawnione organy uzyskiwały od przedsiębiorców telekomunikacyjnych wyłącznie dane osobowe użytkownika;
2. liczbę przypadków (rozumianych jako liczbę numerów telefonicznych lub numerów IP), w których uprawnione organy uzyskiwały dane telekomunikacyjne (z wyłączeniem ustaleń danych abonenckich) z podzieleniem na odpowiednie kategorie (np. dane transmisyjne, dane o lokalizacji);
3. łączną liczbę przypadków, w których wniosek uprawnionego podmiotu nie mógł być zrealizowany;
4. liczbę osób, których dane telekomunikacyjne były pozyskiwane i wykorzystywane przez uprawnione organy (z wyłączeniem ustaleń danych abonenckich)”.

• Warto byłoby wskazać, jaki był cel uzyskania dostępu do danych niedotyczących treści. Jeśli celem było pozyskanie tych danych w związku z zapobieganiem lub zwalczaniem przestępstw (a nie np. w związku z działaniami ratunkowymi lub poszukiwawczymi), rozważenia wymaga uzupełnienie sprawozdań publicznie dostępnych o rodzaj (kwalifikację prawną) przestępstwa.

Odpowiedź ministra sprawiedliwości-prokuratora generalnego Waldemara Żurka (całość w załączniku)

(....) Zagadnienia dotyczące retencji danych i dostępu do danych retencyjnych, jak również zgłoszone postulaty, w swoim zasadniczym nurcie pozostają poza zakresem właściwości Ministerstwa Sprawiedliwości. 

W przepisach Kodeksu postępowania karnego mogłyby zostać wprowadzone ewentualne zmiany konsekwencyjne i w tym zakresie, w ramach prowadzonych przez właściwe ministerstwa prac koncepcyjnych i legislacyjnych, Ministerstwo Sprawiedliwości będzie mogło aktywnie uczestniczyć.

II.519.1068.2022