Polskie prawo nakłada na każdego operatora telekomunikacyjnego obowiązek zatrzymywania i przechowywania przez 12 miesięcy, na własny koszt i na terytorium Polski, danych o zrealizowanych połączeniach i nieudanych próbach połączeń wszystkich użytkowników, wraz z danymi pozwalającymi ustalić lokalizację urządzenia (art. 47 Prawa komunikacji elektronicznej, Dz.U. 2024 poz. 1221). Obowiązek w obecnym kształcie nie zależy od żadnego podejrzenia: dane wszystkich użytkowników gromadzi się z góry, zanim jakiekolwiek podejrzenie w ogóle się pojawi. Razem zapowiada rozbiórkę tej konstrukcji, idąc śladem orzecznictwa Trybunału Sprawiedliwości UE, które masową retencję kwestionuje od 2014 roku.
Dyrektywa upadła, obowiązek został
Masową retencję wprowadziła do europejskiego prawa dyrektywa 2006/24/WE, uchwalona po zamachach w Madrycie i Londynie. Trybunał Sprawiedliwości UE unieważnił ją wyrokiem z 8 kwietnia 2014 roku w sprawach połączonych C-293/12 i C-594/12 (Digital Rights Ireland i Seitlinger), uznając, że obejmując „w sposób uogólniony wszystkie jednostki, środki łączności elektronicznej i dane o ruchu", bez rozróżnień i wyjątków, dyrektywa ingeruje w prawa podstawowe w stopniu wykraczającym poza to, co ściśle niezbędne (komunikat prasowy TSUE nr 54/14). Trybunał zwrócił przy tym uwagę, że dane o ruchu i lokalizacji, zestawione razem, pozwalają odtworzyć nawyki życia codziennego, pokonywane trasy i środowiska społeczne, w których obraca się obserwowany — a więc precyzyjny portret życia prywatnego, bez zaglądania w treść jakiejkolwiek rozmowy.
Tele2 i Watson: krajowe kopie dyrektywy też upadają
Dwa lata później, 21 grudnia 2016 roku, Trybunał domknął tę linię w sprawach połączonych C-203/15 i C-698/15 (Tele2 Sverige i Watson): prawo krajowe przewidujące uogólnioną i niezróżnicowaną retencję danych o ruchu i lokalizacji także narusza prawa podstawowe; upadek samej dyrektywy nie otworzył państwom furtki do utrzymania jej krajowych kopii (komunikat prasowy TSUE nr 145/16). Oba te wyroki istniały już, gdy Razem przyjmowało swoje stanowisko; wyrok w sprawie La Quadrature du Net z 6 października 2020 roku (C-511/18 i sprawy połączone) przyszedł później i linię orzeczniczą potwierdził, dopuszczając jedynie wąskie, czasowe wyjątki związane z poważnym zagrożeniem bezpieczeństwa narodowego (komunikat prasowy TSUE, 2020).
Roczna retencja przepisana do nowej ustawy
Polska miała okazję uporządkować ten obszar przy okazji wielkiej rekodyfikacji prawa telekomunikacyjnego. Prawo komunikacji elektronicznej z 12 lipca 2024 roku, które zastąpiło ustawę z 2004 roku, przeniosło jednak obowiązek rocznej retencji w niemal niezmienionym kształcie — art. 47 nakazuje zatrzymywanie danych wymienionych w art. 49 ust. 1 „przez okres 12 miesięcy, licząc od dnia połączenia lub nieudanej próby połączenia" (Dz.U. 2024 poz. 1221). Fundacja Panoptykon alarmowała w toku prac legislacyjnych, że projekt nie tylko konserwuje model zakwestionowany przez TSUE, ale w pierwotnej wersji szedł dalej: rząd proponował objęcie obowiązkami retencyjnymi także dostawców komunikatorów internetowych i poczty elektronicznej (Panoptykon o projekcie PKE).
Zgromadzone w ten sposób zasoby nie leżą bezczynnie. W 2023 roku policja i dziewięć uprawnionych służb sięgnęły po billingi i dane lokalizacyjne 1 825 683 razy; rok wcześniej — 1 787 885 razy (Fundacja Panoptykon). Po dane retencyjne nie trzeba uprzedniej zgody sądu, więc dwunastomiesięczne archiwum życia każdego numeru pozostaje w praktyce na wyciągnięcie ręki funkcjonariusza.
Co proponuje Razem
Punkt 5 bloku „Cyberbezpieczeństwo bez inwigilacji" wiąże retencję z konkretnym podejrzeniem: dane wolno zatrzymywać wyłącznie o osobach, wobec których toczy się postępowanie lub działania operacyjne; pozostali użytkownicy wypadają z zasięgu obowiązku.
Zgodnie z wyrokiem Trybunału Sprawiedliwości przyjmiemy przepis zakazujący retencji danych osób, wobec których nie toczy się postępowanie lub działania operacyjne.— Partia Razem, „Stanowisko ws. cyfryzacji” (2 maja 2018), partiarazem.pl
Postulat idzie w poprzek utartej praktyki legislacyjnej, w której kolejne rządy — niezależnie od barw — traktowały orzeczenia luksemburskiego Trybunału o retencji jako problem do przeczekania. Wybiórcze podejście do europejskich zobowiązań nie ogranicza się zresztą do danych telekomunikacyjnych: w serwisie Razem dla Europy opisujemy, jak zawieszanie prawa do azylu łamie konstytucję i Kartę praw podstawowych.
Źródła i dalsza lektura
- Partia Razem — „Stanowisko ws. cyfryzacji” (2018)
- Ustawa z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221)
- TSUE — komunikat prasowy do wyroku w sprawach C-293/12 i C-594/12, Digital Rights Ireland (8 kwietnia 2014)
- TSUE — komunikat prasowy do wyroku w sprawach połączonych C-203/15 i C-698/15, Tele2 Sverige i Watson (21 grudnia 2016)
- TSUE — komunikat prasowy do wyroku w sprawach C-511/18 i połączonych, La Quadrature du Net (6 października 2020)
- Fundacja Panoptykon — „Teczka na każdego” — dane o sięganiu służb po dane telekomunikacyjne
- Fundacja Panoptykon — o retencji danych w projekcie Prawa komunikacji elektronicznej