tezy i przedmiot opinii

Tezy

1. W przypadku przyjęcia przez Sejm RP zgłoszonych 26.01.2023 r. poprawek posłów PiS przepisy projektu p.k.e. określające obowiązek retencji danych przekazywania ich służbom będą brzmiały identycznie, jak obecnie obowiązujące przepisy prawa telekomunikacyjnego dotyczące obowiązku zatrzymywania danych.

2. Obowiązujące przepisy prawa telekomunikacyjnego, które nakładają na przedsiębiorców telekomunikacyjnych obowiązek retencji danych i przekazywania danych służbom, naruszają konstytucyjne oraz unijne standardy ograniczenia tajemnicy komunikowania się.

3. Zaproponowane przepisy projektu p.k.e. w zakresie, w jakim określają obowiązek retencji danych przez przedsiębiorców komunikacji elektronicznej i udostępnianie ich służbom, organom ścigania nie będą zatem spełniały ani krajowych, ani unijnych wymogów ograniczenia tajemnicy komunikowania się, niezależnie od przyjęcia poprawek zgłoszonych przez posłów PiS w dniu 26 stycznia 2023 r.

4. W przypadku nieprzyjęcia przez ustawodawcę poprawek posłów PiS zgłoszonych 26.01.2023 r. i uchwalenia przez Sejm RP art. 43 i 49 projektu p.k.e. w obecnym brzmieniu pogłębiony zostanie naruszający prawo jednostek do tajemnicy komunikowania się powszechny i niezróżnicowany obowiązek zatrzymywania szerokiego katalogu informacji dotyczących komunikacji elektronicznej użytkowników.

Przedmiot Opinii

5. Przedmiotem niniejszej opinii (dalej „Opinia”) jest dokonanie oceny rządowego projektu ustawy – Prawo komunikacji elektronicznej (Druk sejmowy nr 2861) oraz Rządowego projektu ustawy – Przepisy wprowadzające ustawę – Prawo komunikacji elektronicznej (Druk sejmowy nr 2862) w zakresie tajemnicy komunikacji elektronicznej w projektowanych przepisach i ewentualnego dostępu służb do danych objętych taką tajemnicą. podStawy prawne opinii

6. W Opinii zostanie zbadane w szczególności ryzyko jakie projektowane przepisy niosą ze sobą dla funkcjonowania społeczeństwa obywatelskiego w Polsce.

7. Dla sporządzenia niniejszej Opinii podstawę stanowiły następujące akty prawne: a) Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz. U. UE. L. z 2002 r. Nr 201, str. 37 z późn. zm., dalej dyrektywa 2002/58/WE); b) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm., dalej RODO); c) Ustawa z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne (t.j. Dz. U. z 2021 r. poz. 576, dalej prawo telekomunikacyjne); d) Rządowy projekt ustawy z dnia 9 grudnia 2022 r. – prawo komunikacji elektronicznej (druk nr 2861), dostępny https://www. sejm.gov.pl/sejm9.nsf/druk.xsp?nr=2861, dostęp 21.02.2023 r. (dalej projekt p.k.e.); e) Rządowy projekt ustawy z dnia 9 grudnia 2022 r. Przepisy wprowadzające ustawę – Prawo komunikacji elektronicznej (druk nr 2862): https://www.sejm.gov.pl/sejm9.nsf/druk.xsp?nr=2862(dalej projekt w.p.k.e.); f) Konstytucja RP Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. 1997 nr 78 poz. 483, z późn. zm.); (dalej Konstytucja RP RP); g) Karta Praw Podstawowych Unii Europejskiej (Dz. Urz. UE C 83 z 30.03.2010) (dalej KPP).

8. Dla sporządzenia niniejszej Opinii wykorzystane zostały publicznie dostępne stanowiska wyrażone na temat dostępu służb do danych na gruncie przepisów projektu p.k.e.: a) Stanowisko Fundacji Panoptykon w sprawie projektu ustawy –Prawo Komunikacji Elektronicznej (druk sejmowy: 2861), https:// panoptykon.org/sites/default/files/panoptykon_prawo_komunikacji_elektronicznej_opinia_prawna_2.01.2023.pdf, dostęp 16.02.2023 r. (dalej Stanowisko Panoptykon); b) Opinia Ministra ds. Unii Europejskiej z dnia 15.12.2022 r. o zgodności z prawem Unii Europejskiej projektu ustawy – Prawo komunikacji elektronicznej https://orka.sejm.gov.pl/Druki9ka.nsf/0/82DB9792FD296E51C125891A0043E0EC/%24File/2861-001.pdf (dalej Opinia Ministra ds. UE); c) Stanowisko Konfederacji Lewiatan do projektu ustawy – Prawo komunikacji elektronicznej oraz przepisów wprowadzające ustawę – Prawo komunikacji elektronicznej (druki sejmowe nr 2861 i odpowiednio 2862) (dalej Stanowisko Konfederacji Lewiatan); d) Apel Związku Pracodawców Branży Internetowej Interactive Advertising Bureau Polska (IAB Polska) ws. projektów ustaw prawo komunikacji elektronicznej (PKE) oraz ustawy wprowadzającej PKE z dnia 22 grudnia 2022 r. (dalej Grudniowy Apel IAB Polska”).

9. W tym miejscu należy zaznaczyć, że autorzy Opinii zgadzają się z wątpliwościami przedstawionymi we wskazanych stanowiskach w zakresie, w jakim dotyczą one przepisów projektu p.k.e. oraz w.p.k.e. dotyczących obowiązku retencji danych przez przedsiębiorców komunikacji elektronicznej i udostępniania zatrzymywanych danych uprawnionym podmiotom.

Stan faktyczny

10. Projekty p.k.e i w.p.k.e. mają na celu wdrożenie do krajowego porządku prawnego przepisów dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/1972 z dnia 11 grudnia 2018 r. ustanawiającej Europejski kodeks łączności elektronicznej (Dz. Urz. UE L 321 z 17.12.2018, str. 34, z późn. zm.). Prace legislacyjne nad projektami trwają od lipca 2020 roku.

11. Przepisy projektu p.k.e. mają zastąpić obecnie obowiązujące przepisy prawa telekomunikacyjnego.

12. W świetle dotychczasowych przepisów prawa telekomunikacyjnego operatorzy publicznej sieci telekomunikacyjnej oraz dostawcy publicznie dostępnych usług telekomunikacyjnych są obowiązani do zatrzymywania i przechowywania określonych ustawowo danych przez okres 12 miesięcy, a także do udostępniania ich uprawnionym podmiotom, w tym również sądowi i prokuratorowi, na zasadach i w trybie określonym w przepisach odrębnych (art. 180a p.t.).

13. Obowiązkiem, o którym mowa w art. 180a ust. 1, objęte są dane niezbędne do ustalenia zakończenia sieci, telekomunikacyjnego urządzenia końcowego, użytkownika końcowego inicjującego połączenie lub do którego kierowane jest połączenie określenia daty i godziny połączenia oraz czasu jego trwania, rodzaju połączenia, lokalizacji telekomunikacyjnego urządzenia końcowego (art. 180c p.t.).

14. Podobniej jak obecnie obowiązujący art. 179 ust. 1 pkt 1 prawa telekomunikacyjnego, art. 43 ust. 1 pkt 1 lit. a projektu p.k.e. przewiduje, że podmiotami uprawnionymi do pozyskiwania zatrzymanych danych są: Policja, Biuro Nadzoru Wewnętrznego, Straż Graniczna, Inspektorat Wewnętrzny Służby Więziennej, Służba Ochrony Państwa, Agencja Bezpieczeństwa Wewnętrznego, Służba Kontrwywiadu Wojskowego, Żandarmeria Wojskowa, Centralne Biuro Antykorupcyjne i Krajowa Administracja Skarbowa (dalej łącznie „podmioty uprawnione” lub „służby”).

15. Na początkowych etapach procesu legislacyjnego na grunt projektu p.k.e. wprost przeniesiono obowiązujące przepisy prawa telekomunikacyjnego dotyczące obowiązku retencji danych (art. 180a p.t. i następne).

16. W listopadzie 2022 r. w trakcie kolejnego etapu prac legislacyjnych nad projektem p.k.e. na żądanie Ministra Obrony Narodowej oraz Ministra Koordynatora Służb Specjalnych (bez przeprowadzenia w tym zakresie niezbędnych konsultacji publicznych) rozszerzono w projekcie p.k.e. zakres podmiotów zobowiązanych do retencji danych i udostępniania ich służbom o przedsiębiorców komunikacji elektronicznej (art. 47 projektu p.k.e.) oraz poszerzono katalog informacji podlegających retencji o „dane jednoznacznie identyfikujące użytkownika w sieci” (art. 49 projektu p.k.e.)1

17. 9 grudnia 2022 r. projekt p.k.e. oraz projekt w.p.k.e. trafiły do Sejmu RP. 13 stycznia 2023 r. odbyło się I czytanie projektów ustaw na posiedzeniu Sejmu. Prace nad projektem p.k.e. skierowano do KCNIT.

18. Przed posiedzeniem KCNIT w dniu 26 stycznia 2022 r. posłowie PiS zgłosili pakiet poprawek, które zawierają m.in. usunięcie z projektu p.k.e. rozszerzenia zakresu podmiotów zobowiązanych do retencji danych i udostępniania ich służbom o przedsiębiorców komunikacji elektronicznej (art. 47 projektu p.k.e.) oraz katalogu informacji podlegających retencji o „dane jednoznacznie identyfikujące użytkownika w sieci” (art. 49 projektu p.k.e.)2 .

19. 26 stycznia 2023 r. w wyniku głosowania posłów-członków KCINT odroczono posiedzenie Komisji na 6 lutego 2022 r. Wskazane w pkt. 3.16 Opinii poprawki posłów PiS nie zostały poddane głosowaniu3 Podczas posiedzenia KCINT w dniu 6 lutego 2023 r. podjęto uchwałę o przeprowadzeniu 6 marca 2023 r. wysłuchania publicznego ws. Projektu p.k.e.

20. Porównanie proponowanych zmian w stosunku do obecnie obowiązujących przepisów prawa telekomunikacyjnego dotyczących obowiązku retencji danych przedstawiają poniższe tabele:

2 KANCELARIA SEJMU Biuro Komisji Sejmowych. Pełny zapis posiedzenia Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii (nr 90) z dnia 6 lutego 2023 r., https:// orka.sejm.gov.pl/zapisy9.nsf/0/F3B5C00FECB69B03C1258955003CC2F4/%24File/0347509.pdf, dostęp 21.02.2023 r.

3 KANCELARIA SEJMU Biuro Komisji Sejmowych. Pełny zapis posiedzenia Komisji Cyfryzacji…

Art. 180a prawa telekomunikacyjnego

1. Z zastrzeżeniem art. 180c ust. 2 pkt 2, operator publicznej sieci telekomunikacyjnej oraz dostawca publicznie dostępnych usług telekomunikacyjnych są obowiązani na własny koszt:

1) zatrzymywać i przechowywać dane, o których mowa w art. 180c, generowane w sieci telekomunikacyjnej lub przez nich przetwarzane, na terytorium Rzeczypospolitej Polskiej, przez okres 12 miesięcy, licząc od dnia połączenia lub nieudanej próby połączenia, a z dniem upływu tego okresu dane te niszczyć, z wyjątkiem tych, które zostały zabezpieczone, zgodnie z przepisami odrębnymi;

2) udostępniać dane, o których mowa w pkt 1, uprawnionym podmiotom, a także sądowi i prokuratorowi, na zasadach i w trybie określonych w przepisach odrębnych;

3) chronić dane, o których mowa w pkt 1, przed przypadkowym lub bezprawnym zniszczeniem, utratą lub zmianą, nieuprawnionym lub bezprawnym przechowywaniem, przetwarzaniem, dostępem lub ujawnieniem, zgodnie z przepisami art. 159–175a, art. 175c i art. 180e.

Art. 47 projektu p.k.e. (przed poprawkami zgłoszonymi PiS z 26.01.2023 r.)

1.Przedsiębiorca komunikacji elektronicznej, z wyłączeniem podmiotów, o których mowa w przepisach wydanych na podstawie art. 49 ust. 2, jest obowiązany na własny koszt:

1) zatrzymywać i przechowywać na terytorium Rzeczypospolitej Polskiej dane, o których mowa w art. 49 ust. 1, generowane w publicznej sieci telekomunikacyjnej lub przez niego przetwarzane, przez okres 12 miesięcy, licząc od dnia połączenia lub nieudanej próby połączenia, a z dniem upływu tego okresu dane te niszczyć, z wyjątkiem tych, które zostały zabezpieczone, zgodnie z przepisami odrębnymi;

2) udostępniać dane, o których mowa w pkt 1, uprawnionym podmiotom, a także sądowi i prokuratorowi, zgodnie z wymaganiami określonymi w przepisach wykonawczych wydanych na podstawie art. 49 ust. 3, oraz na zasadach i w trybie określonych w przepisach odrębnych;

3) chronić dane, o których mowa w pkt 1, przed przypadkowym lub bezprawnym zniszczeniem, utratą lub zmianą, nieuprawnionym lub bezprawnym przechowywaniem, przetwarzaniem, dostępem lub ujawnieniem, zgodnie z przepisami ust. 5, art. 381–400 oraz podejmując środki techniczne i organizacyjne, o których mowa w art. 39 ust. 1 pkt 3.

Art. 47 projektu p.k.e. (po poprawkach zgłoszonych przez PiS w 26.01.2023 r.)

Z zastrzeżeniem art. 180c ust. 2 pkt 2, operator publicznej sieci telekomunikacyjnej oraz dostawca publicznie dostępnych usług telekomunikacyjnych są obowiązani na własny koszt:

1) zatrzymywać i przechowywać dane, o których mowa w art. 180c, generowane w sieci telekomunikacyjnej lub przez nich przetwarzane, na terytorium Rzeczypospolitej Polskiej, przez okres 12 miesięcy, licząc od dnia połączenia lub nieudanej próby połączenia, a z dniem upływu tego okresu dane te niszczyć, z wyjątkiem tych, które zostały zabezpieczone, zgodnie z przepisami odrębnymi;

2) udostępniać dane, o których mowa w pkt 1, uprawnionym podmiotom, a także sądowi i prokuratorowi, na zasadach i w trybie określonych w przepisach odrębnych;

3) chronić dane, o których mowa w pkt 1, przed przypadkowym lub bezprawnym zniszczeniem, utratą lub zmianą, nieuprawnionym lub bezprawnym przechowywaniem, przetwarzaniem, dostępem lub ujawnieniem, zgodnie z przepisami art. 159–175a, art. 175c i art. 180e.

Art. 180a prawa telekomunikacyjnego

2. Z zastrzeżeniem ust. 3, obowiązek, o którym mowa w ust. 1, uważa się za wykonany, jeżeli operator publicznej sieci telekomunikacyjnej lub dostawca publicznie dostępnych usług telekomunikacyjnych w przypadku zaprzestania działalności telekomunikacyjnej, przekaże dane do dalszego przechowywania, udostępniania oraz ochrony innemu operatorowi publicznej sieci telekomunikacyjnej lub dostawcy publicznie dostępnych usług telekomunikacyjnych.

5. Obowiązkowi, o którym mowa w ust. 1, podlegają dane dotyczące połączeń zrealizowanych i nieudanych prób połączeń, o których mowa w art. 159 ust. 1 pkt 5.

6. Obowiązek, o którym mowa w ust. 1, powinien być realizowany w sposób, który nie powoduje ujawniania przekazu telekomunikacyjnego.

Art. 47 projektu p.k.e. (przed poprawkami zgłoszonymi PiS z 26.01.2023 r.)

2. Obowiązkom, o których mowa w ust. 1, podlegają dane dotyczące połączeń zrealizowanych i nieudanych prób połączeń, o których mowa w art. 381 ust. 1 pkt 5.

3. Obowiązki, o których mowa w ust. 1, realizowane są w sposób, który nie powoduje ujawniania komunikatu elektronicznego.

Art. 47 projektu p.k.e. (po poprawkach zgłoszonych przez PiS w 26.01.2023 r.)

2. Z zastrzeżeniem ust. 3, obowiązek, o którym mowa w ust. 1, uważa się za wykonany, jeżeli operator publicznej sieci telekomunikacyjnej lub dostawca publicznie dostępnych usług telekomunikacyjnych w przypadku zaprzestania działalności telekomunikacyjnej, przekaże dane do dalszego przechowywania, udostępniania oraz ochrony innemu operatorowi publicznej sieci telekomunikacyjnej lub dostawcy publicznie dostępnych usług telekomunikacyjnych.

5. Obowiązkowi, o którym mowa w ust. 1, podlegają dane dotyczące połączeń zrealizowanych i nieudanych prób połączeń, o których mowa w art. 159 ust. 1 pkt 5.

6. Obowiązek, o którym mowa w ust. 1, powinien być realizowany w sposób, który nie powoduje ujawniania przekazu telekomunikacyjnego.