Polskie prawo nakłada na każdego operatora telekomunikacyjnego obowiązek zatrzymywania i przechowywania przez 12 miesięcy, na własny koszt i na terytorium Polski, danych o zrealizowanych połączeniach i nieudanych próbach połączeń wszystkich użytkowników, wraz z danymi pozwalającymi ustalić lokalizację urządzenia (art. 47 Prawa komunikacji elektronicznej, Dz.U. 2024 poz. 1221). Partia Razem w stanowisku ws. cyfryzacji z 2018 roku zapowiedziała rozbiórkę tej konstrukcji: „Zgodnie z wyrokiem Trybunału Sprawiedliwości przyjmiemy przepis zakazujący retencji danych osób, wobec których nie toczy się postępowanie lub działania operacyjne" (stanowisko ws. cyfryzacji, 2018). Obowiązek w obecnym kształcie nie zależy bowiem od żadnego podejrzenia: dane gromadzi się o wszystkich, z góry, na zapas.
Dyrektywa upadła, obowiązek został
Masową retencję wprowadziła do europejskiego prawa dyrektywa 2006/24/WE, uchwalona po zamachach w Madrycie i Londynie. Trybunał Sprawiedliwości UE unieważnił ją wyrokiem z 8 kwietnia 2014 roku w sprawach połączonych C-293/12 i C-594/12 (Digital Rights Ireland i Seitlinger), uznając, że obejmując „w sposób uogólniony wszystkie jednostki, środki łączności elektronicznej i dane o ruchu", bez rozróżnień i wyjątków, dyrektywa ingeruje w prawa podstawowe w stopniu wykraczającym poza to, co ściśle niezbędne (komunikat prasowy TSUE nr 54/14). Trybunał zwrócił przy tym uwagę na rzecz, którą łatwo przeoczyć w technicznej debacie o billingach: dane o ruchu i lokalizacji, zestawione razem, pozwalają odtworzyć nawyki życia codziennego, pokonywane trasy i środowiska społeczne, w których obraca się obserwowany — a więc precyzyjny portret życia prywatnego, bez zaglądania w treść jakiejkolwiek rozmowy.
Tele2 i Watson: krajowe kopie dyrektywy też upadają
Dwa lata później, 21 grudnia 2016 roku, Trybunał domknął tę linię w sprawach połączonych C-203/15 i C-698/15 (Tele2 Sverige i Watson): prawo krajowe przewidujące uogólnioną i niezróżnicowaną retencję danych o ruchu i lokalizacji także narusza prawa podstawowe; upadek samej dyrektywy nie otworzył państwom furtki do utrzymania jej krajowych kopii (komunikat prasowy TSUE nr 145/16). Oba te wyroki istniały już, gdy Razem przyjmowało swoje stanowisko; wyrok w sprawie La Quadrature du Net z 6 października 2020 roku (C-511/18 i sprawy połączone) przyszedł później i linię orzeczniczą potwierdził, dopuszczając jedynie wąskie, czasowe wyjątki związane z poważnym zagrożeniem bezpieczeństwa narodowego (komunikat prasowy TSUE, 2020).
Nowa ustawa, stary automat
Polska miała okazję uporządkować ten obszar przy okazji wielkiej rekodyfikacji prawa telekomunikacyjnego. Prawo komunikacji elektronicznej z 12 lipca 2024 roku, które zastąpiło ustawę z 2004 roku, przeniosło jednak obowiązek rocznej retencji w niemal niezmienionym kształcie — art. 47 nakazuje zatrzymywanie danych wymienionych w art. 49 ust. 1 „przez okres 12 miesięcy, licząc od dnia połączenia lub nieudanej próby połączenia" (Dz.U. 2024 poz. 1221). Fundacja Panoptykon alarmowała w toku prac legislacyjnych, że projekt nie tylko konserwuje model zakwestionowany przez TSUE, ale w pierwotnej wersji szedł dalej: rząd proponował objęcie obowiązkami retencyjnymi także dostawców komunikatorów internetowych i poczty elektronicznej (Panoptykon o projekcie PKE).
Zgromadzone w ten sposób zasoby nie leżą bezczynnie. W 2023 roku policja i dziewięć uprawnionych służb sięgnęły po billingi i dane lokalizacyjne 1 825 683 razy; rok wcześniej — 1 787 885 razy (Fundacja Panoptykon). Po dane retencyjne nie trzeba uprzedniej zgody sądu, więc dwunastomiesięczne archiwum życia każdego numeru pozostaje w praktyce na wyciągnięcie ręki funkcjonariusza.
Co proponuje Razem
Punkt 5 bloku „Cyberbezpieczeństwo bez inwigilacji" wiąże retencję z konkretnym podejrzeniem: dane wolno zatrzymywać wyłącznie o osobach, wobec których toczy się postępowanie lub działania operacyjne; pozostali użytkownicy wypadają z zasięgu obowiązku.
Zgodnie z wyrokiem Trybunału Sprawiedliwości przyjmiemy przepis zakazujący retencji danych osób, wobec których nie toczy się postępowanie lub działania operacyjne.— Partia Razem, „Stanowisko ws. cyfryzacji” (2 maja 2018), partiarazem.pl
Postulat idzie w poprzek utartej praktyki legislacyjnej, w której kolejne rządy — niezależnie od barw — traktowały orzeczenia luksemburskiego Trybunału o retencji jako problem do przeczekania. Wybiórcze podejście do europejskich zobowiązań nie ogranicza się zresztą do danych telekomunikacyjnych: w serwisie Razem dla Europy opisujemy, jak zawieszanie prawa do azylu łamie konstytucję i Kartę praw podstawowych. Pozostałe postulaty prywatnościowe, od nadzoru sądowego po rejestrację kart SIM, mapuje hub prywatność i inwigilacja.
Źródła i dalsza lektura
- Partia Razem — „Stanowisko ws. cyfryzacji” (2018)
- Ustawa z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221)
- TSUE — komunikat prasowy do wyroku w sprawach C-293/12 i C-594/12, Digital Rights Ireland (8 kwietnia 2014)
- TSUE — komunikat prasowy do wyroku w sprawach połączonych C-203/15 i C-698/15, Tele2 Sverige i Watson (21 grudnia 2016)
- TSUE — komunikat prasowy do wyroku w sprawach C-511/18 i połączonych, La Quadrature du Net (6 października 2020)
- Fundacja Panoptykon — „Teczka na każdego” — dane o sięganiu służb po dane telekomunikacyjne
- Fundacja Panoptykon — o retencji danych w projekcie Prawa komunikacji elektronicznej