Prywatność i inwigilacja | Cyfrowa Polska Razem

Rynek, na którym towarem jest użytkownik

Tue, 21 Jul 2026 14:00:00 +0200

Ciasteczko strony trzeciej działa jak agent handlowy, który wchodzi do sklepu razem z klientem, a potem chodzi za nim po wszystkich kolejnych sklepach i notuje. Plik zapisany przez zewnętrzną firmę reklamową na jednej witrynie rozpoznaje tę samą przeglądarkę na tysiącach innych — i z pojedynczych odwiedzin skleja profil: zainteresowania, problemy zdrowotne, poglądy, sytuację finansową. Partia Razem w stanowisku ws. cyfryzacji z 2018 roku uderza w podstawę tej machiny: technologie śledzące mają zostać zakazane, zgoda nie może być domniemana, a zakaz handlu danymi osobowymi ma być rzeczywiście egzekwowany (stanowisko ws. cyfryzacji, 2018). Stawką jest cały łańcuch dalszych ogniw: superciasteczka odtwarzają się po usunięciu, a gotowe profile stają się przedmiotem obrotu między firmami, których nazw użytkownik nigdy nie widział.

Zgoda, której nikt nie udzielił

Obrona przed tym modelem została w praktyce sprywatyzowana: to pojedynczy użytkownik ma czytać polityki prywatności, konfigurować banery i odwoływać zgody u dziesiątek administratorów osobno. Przy kilkudziesięciu odwiedzanych witrynach dziennie rzetelne wykonywanie tych czynności zajmowałoby więcej czasu niż samo korzystanie z sieci — więc niemal nikt ich nie wykonuje, a system zgód pozostaje fasadą, za którą rynek danych toczy się bez zmian.

RODO wymaga od 2018 roku zgody dobrowolnej, konkretnej i świadomej (rozporządzenie 2016/679); banery zgód projektuje się tymczasem tak, by odmowa kosztowała więcej kliknięć niż akceptacja, a „uzasadniony interes" administratora rozciąga się na śledzenie, którego nikt by świadomie nie autoryzował. Rosnące tarcia między tym modelem a użytkownikami widać w statystykach polskiego organu nadzorczego: do Prezesa UODO wpłynęło w 2024 roku 8056 skarg — o ponad tysiąc więcej niż rok wcześniej, gdy było ich 6962 — oraz 14 842 zgłoszenia naruszeń ochrony danych (sprawozdanie Prezesa UODO za 2024 rok).

Skargi obejmują przy tym wyłącznie przypadki, o których zainteresowani w ogóle się dowiedzieli: skarży się ten, kto wie, że jego dane wyciekły albo krążą po rynku. Istota reklamy behawioralnej polega na tym, że obrót odbywa się poza polem widzenia zainteresowanego — między wydawcą, pośrednikami aukcji reklamowych i brokerami danych. Stanowisko Razem nazywa ten układ bez ogródek: „Wielkie korporacje nie mogą zarabiać handlując naszymi tożsamościami za naszymi plecami" (stanowisko ws. cyfryzacji, 2018).

27 kar na 13,9 mln zł rocznie

Po stronie egzekwowania dysproporcja sił jest równie wyraźna. W 2024 roku Prezes UODO wydał 1719 decyzji administracyjnych, ale kary pieniężne nałożył w 22 sprawach — 27 kar na łączną kwotę 13,9 mln zł (sprawozdanie Prezesa UODO za 2024 rok). Dla branży, której model biznesowy opiera się na profilowaniu milionów użytkowników, taka suma, rozłożona na wszystkie ukarane podmioty w kraju przez cały rok, mieści się w kategoriach zwykłego kosztu operacyjnego. O ryzyku, które zmieniałoby czyjekolwiek zachowanie, trudno tu mówić. Rachunek jest prosty do przewidzenia: jeżeli naruszanie zasad przynosi więcej, niż kosztuje sporadyczna kara, samo istnienie przepisów nie zmienia zachowań rynku. Stąd w programie Razem obok nowych zakazów stoi żądanie skuteczności wobec zakazów już istniejących.

Co proponuje Razem

Postulaty z bloku „Wygoda i bezpieczeństwo użytkownika w świecie cyfrowym" mają wyraźnie zaznaczony poziom realizacji — to dążenia na forum Unii Europejskiej, bo rynek reklamowy i najwięksi gracze działają ponad granicami państw:

„Będziemy dążyć do zakazu wykorzystywania technologii śledzących takich jak ciasteczka stron trzecich (ang. third-party cookies) i superciasteczek oraz innych mających podobne funkcje na terenie Unii Europejskiej" (pkt 4);
„Będziemy dążyć do ograniczenia wykorzystywania ciasteczek na terenie Unii Europejskiej. Zgoda na ich wykorzystywanie przez stronę internetową nie powinna być domniemana" (pkt 5);
„Będziemy dążyć do wprowadzenia konieczności uzyskania zgody użytkownika przed jakimkolwiek wykorzystaniem jego danych" (pkt 7).

Czwarty element pochodzi z bloku „Cyberbezpieczeństwo bez inwigilacji" i dotyczy już krajowego egzekwowania prawa: „Poprawimy egzekwowanie zakazu handlu danymi osobowymi" (pkt 4). Zestawione razem, punkty te opisują spójną zmianę reguł gry: śledzenie przestaje być domyślne, zgoda wraca do swojego słownikowego znaczenia, a obrót cudzymi danymi — dziś opłacalny nawet po doliczeniu ryzyka kar — staje się działalnością realnie ściganą.

Osobnym piętrem tej samej gospodarki uwagi są algorytmy rekomendacyjne platform, które zebrane o użytkowniku dane zamieniają w decyzje o tym, co zobaczy — ich jawności poświęcony jest tekst serwisu Razem dla Równości o algorytmach wielkich platform. Mapę wszystkich postulatów prywatnościowych prowadzimy w hubie prywatność i inwigilacja.

Źródła i dalsza lektura

Martwy przepis

Tue, 21 Jul 2026 11:00:00 +0200

W lutym 2017 roku, tuż po tym, jak niezarejestrowane karty prepaid ostatecznie przestały działać, dziennikarz Wirtualnej Polski znalazł w serwisie ogłoszeniowym ofertę, umówił się ze sprzedawcą i po niecałych trzech godzinach miał w ręku działającą kartę SIM zarejestrowaną na cudze dane — sprzedawca uprzejmie odmówił informacji, na czyje (tech.wp.pl, luty 2017). Ta scena streszcza dziesięcioletnią historię obowiązku z ustawy antyterrorystycznej: dla każdego zmotywowanego, by pozostać anonimowym, rejestr okazał się łatwy do obejścia, a jego rzeczywiste koszty poniosły miliony zwykłych użytkowników prepaidów. Partia Razem chce jego wycofania — i mówi to konsekwentnie od chwili, gdy obowiązek jeszcze nie istniał.

Ustawa pisana w pośpiechu

Obowiązek rejestracji kart przedpłaconych wprowadziła ustawa z 10 czerwca 2016 roku o działaniach antyterrorystycznych, przyjęta w trybie, który Razem punktowało na bieżąco: bez obowiązkowych konsultacji publicznych, z maksymalnie skróconym vacatio legis, przy zignorowaniu ostrzeżeń organizacji społecznych o niezgodności projektu z konstytucją i międzynarodowymi standardami praw człowieka. Stanowisko Rady Krajowej z czerwca 2016 roku formułowało też prognozę co do samego rejestru:

Nie ma bowiem żadnych dowodów na to, że dzięki programom masowej inwigilacji czy rejestrom kart SIM udało się ograniczyć zagrożenie terroryzmem. Pewne jest tylko, że te rozwiązania głęboko ingerują w prawa i wolności obywateli.— Partia Razem, „Razem przeciw ustawie antyterrorystycznej” (2016), partiarazem.pl

Stanowisko traktowało rejestr jako element większego pakietu: te same przepisy dawały służbom dostęp do danych właścicieli telefonów na kartę, prawo do prewencyjnego blokowania treści w internecie i możliwość inwigilowania cudzoziemców bez zgody sądu. Obowiązek rejestracji był tą częścią pakietu, którą każdy użytkownik prepaida odczuł osobiście — przy okienku u operatora, z dowodem w ręku.

Rynek wtórny załatwił sprawę w kilka miesięcy

Prognoza sprawdziła się szybciej, niż ktokolwiek zakładał. Jeszcze zanim upłynął termin rejestracji starych kart, w serwisach ogłoszeniowych pojawiły się oferty sprzedaży kart zarejestrowanych — na słupa, na dane wymyślone albo cudze — oraz kart zagranicznych operatorów, czeskich czy ukraińskich, których polski rejestr w ogóle nie obejmuje (Dziennik.pl o obchodzeniu przepisów). Fundacja Panoptykon, podsumowując pierwszy rok obowiązku, zwracała uwagę, że jedyny wskaźnik, którym można było bronić przepisu — spadek liczby fałszywych alarmów bombowych ze 249 w pierwszym półroczu 2016 roku do 134 rok później — dotyczy zjawiska marginalnego i nie sposób go rozstrzygająco przypisać rejestracji (Panoptykon, „Czy warto było?”, 2017).

Obowiązek pozostał natomiast realny dla zwykłych użytkowników. Według raportu UKE w 2024 roku w Polsce aktywnych było 53,2 mln kart SIM (nie licząc kart M2M), z czego 25,4 procent — około 13,5 mln — działało w formie przedpłaconej (UKE, Raport o stanie rynku telekomunikacyjnego w 2024 roku). Kilkanaście milionów osób — często tych, które wybierają prepaid z powodów budżetowych — musi więc zostawić operatorowi swoje dane po to, by system, który każdy zmotywowany może obejść ogłoszeniem z internetu, formalnie trwał.

Co proponuje Razem

W stanowisku ws. cyfryzacji z 2018 roku, dwa lata po przegranej batalii o odrzucenie ustawy, partia przełożyła sprzeciw na konkretny punkt programowy:

Wycofamy obowiązek rejestrowania telefonów na kartę. Ten przepis jest w praktyce martwy, nie realizuje wyznaczonych celów i narusza prawo obywatela do prywatności.— Partia Razem, „Stanowisko ws. cyfryzacji” (2 maja 2018), partiarazem.pl

Postulat nie zawiera przy tym obietnicy, że po zniesieniu rejestru służby zostaną z niczym. Ustalanie sprawców przestępstw odbywało się przed 2016 rokiem i odbywa dziś przede wszystkim metodami operacyjnymi, a sama partia w tym samym stanowisku zapowiada ustawę o cyberbezpieczeństwie i wyspecjalizowane oddziały cyberobronne — spór dotyczy więc tego, czy państwo ma prowadzić rejestr wszystkich, żeby czasem znaleźć kogoś. Jak rejestracja kart wypada na tle pozostałych rozwiązań ustawy antyterrorystycznej po dekadzie obowiązywania — od blokowania treści po inwigilację cudzoziemców — zestawia serwis Bezpieczna Polska Razem w bilansie ustawy antyterrorystycznej. Całą linię prywatnościową partii porządkuje hub prywatność i inwigilacja.

Źródła i dalsza lektura

Nadzór sądowy nad służbami istnieje głównie na papierze

Tue, 21 Jul 2026 09:00:00 +0200

Osoba, wobec której polskie służby prowadziły kontrolę operacyjną, w ogromnej większości przypadków nigdy się o tym nie dowie — przepisy ustaw policyjnych nie przewidują poinformowania jej o podsłuchu, także po zakończeniu działań i także wtedy, gdy niczego jej nie udowodniono (raport RPO, 2025, s. 18–19). Obywatel, który o kontroli nie wie, nie ma jak jej zaskarżyć, więc jedynym realnym bezpiecznikiem pozostaje sąd wyrażający zgodę na kontrolę. Partia Razem w stanowisku ws. cyfryzacji z 2018 roku uznała ten bezpiecznik za niewystarczający i zapisała wprost: „Ustanowimy realny nadzór sądowy nad działaniami operacyjnymi policji i służb specjalnych. Ograniczymy dostęp służb do danych telekomunikacyjnych oraz wprowadzimy skuteczne systemy raportowania" (stanowisko ws. cyfryzacji, 2018).

Mniej niż jedna odmowa na trzysta wniosków

Liczby z oficjalnych sprawozdań układają się w obraz kontroli nadzwyczaj przyjaznej dla wnioskodawcy. W latach 2018–2024 policja skierowała 65 866 wniosków o kontrolę operacyjną; sądy odmówiły zgody 187 razy — mniej niż raz na trzysta wniosków. W samym 2024 roku na 8868 wniosków przypadło 110 sądowych odmów, a kontrolą objęto 5234 osoby (raport RPO na podstawie danych MSWiA, 2025). Do tego dochodzi osobny, znacznie szerszy strumień: po billingi i dane lokalizacyjne — które nie wymagają uprzedniej zgody sądu — policja i dziewięć uprawnionych służb sięgnęły w 2023 roku 1 825 683 razy (Fundacja Panoptykon).

Biuro Rzecznika Praw Obywatelskich, które przeanalizowało te sprawozdania w raporcie z lipca 2025 roku, dochodzi do wniosku jeszcze bardziej kłopotliwego niż sama statystyka: na podstawie danych prezentowanych przez Prokuratora Generalnego i ministra spraw wewnętrznych „nie jest możliwe oszacowanie rzeczywistej skali inwigilacji". Liczby w kolejnych raportach nie sumują się do deklarowanych wartości ogólnych, informacja o kontroli operacyjnej i procesowej podawana jest zbiorczo, a o podsłuchach pięciodniowych, po których prokurator w ogóle nie wystąpił do sądu, sprawozdania milczą (raport RPO, 2025). Sędzia, który rozpoznaje wniosek wyłącznie na podstawie materiałów przedstawionych przez służbę, i parlament, który dostaje nieprecyzyjne zbiorcze tabele, składają się na system, w którym formalna zgoda sądu przestała pełnić funkcję filtra.

Strasburg ocenił system, a nie pojedynczą sprawę

Zewnętrznym potwierdzeniem tej diagnozy — późniejszym niż stanowisko Razem i od niego niezależnym — jest wyrok Europejskiego Trybunału Praw Człowieka z 28 maja 2024 roku w sprawie Pietrzak i Bychawska-Siniarska i inni przeciwko Polsce (skargi nr 72038/17 i 25237/18). Trybunał uznał, że polski reżim kontroli operacyjnej, retencji danych telekomunikacyjnych i niejawnego nadzoru na podstawie ustawy antyterrorystycznej narusza art. 8 Konwencji, czyli prawo do poszanowania życia prywatnego. Co istotne, ETPC ocenił przepisy in abstracto: skarżący — adwokat i aktywiści organizacji społecznych — nie musieli udowadniać, że byli podsłuchiwani, bo samo obowiązywanie tak skonstruowanych przepisów, bez gwarancji i bez środka zaskarżenia, stanowi ingerencję w prywatność każdego (UODO o wyroku ETPC).

Rok po wyroku raport RPO odnotowuje, że system działa po staremu, i opisuje, jak powinna wyglądać jego naprawa: każda osoba poddana niejawnej inwigilacji powinna zostać o niej poinformowana po zakończeniu kontroli, z możliwością odroczenia, gdy natychmiastowa informacja zagrażałaby czynnościom — raport mówi o poinformowaniu «w rozsądnym czasie po zakończeniu działań» (raport RPO, 2025). To rekomendacja Biura RPO, nie punkt programu partii — ale zbieżność kierunku z „skutecznymi systemami raportowania" ze stanowiska z 2018 roku jest wyraźna.

Co proponuje Razem

Ustanowimy realny nadzór sądowy nad działaniami operacyjnymi policji i służb specjalnych. Ograniczymy dostęp służb do danych telekomunikacyjnych oraz wprowadzimy skuteczne systemy raportowania.— Partia Razem, „Stanowisko ws. cyfryzacji” (2 maja 2018), partiarazem.pl

Ten punkt spina trzy elementy, które w obecnym systemie zawodzą jednocześnie. Nadzór sądowy ma być realny, co oznacza sędziego dysponującego czasem, materiałem i faktyczną możliwością odmowy. Ograniczenie dostępu do danych telekomunikacyjnych odpowiada na prawie dwa miliony sięgnięć rocznie, które odbywają się bez uprzedniej kontroli kogokolwiek spoza służb. Skuteczne systemy raportowania to z kolei takie, z których parlament i opinia publiczna poznają rzeczywistą skalę inwigilacji zamiast niesumujących się fragmentów.

Nadzór nad służbami ma też swoją stronę ustrojową: kto konkretnie, z jakim dostępem i wobec kogo miałby patrzeć służbom na ręce między jednym sprawozdaniem a drugim. Propozycję Razem w tej sprawie — Zespół Audytorów przy sejmowej Komisji do Spraw Służb Specjalnych, złożony z byłych oficerów — opisuje szczegółowo serwis Bezpieczna Polska Razem w tekście o kontroli nad służbami specjalnymi. Pozostałe wątki tej linii programowej zbiera nasz hub prywatność i inwigilacja.

Źródła i dalsza lektura

Chmura jak mieszkanie: dostęp tylko za nakazem

Mon, 20 Jul 2026 12:30:00 +0200

Telefon robi to sam: zdjęcia z wakacji, skany umów, kopie dowodów i notatki lądują w chmurze usługodawcy, zanim właściciel zdąży o tym pomyśleć. Partia Razem w stanowisku ws. cyfryzacji z 2018 roku stawia w tej sprawie zasadę prostą do zapamiętania: skoro przeszukanie mieszkania wymaga podstaw i procedury, ten sam standard ma chronić pliki na osobistych urządzeniach i w chmurze — „Kopiowanie dokumentów i zdjęć do chmury nie może skutkować osłabieniem prawa do prywatności" (stanowisko ws. cyfryzacji, 2018). Fizycznie te pliki leżą bowiem na serwerze firmy, prawnie — w strefie mniej oczywistej niż szuflada biurka, bo o dostęp do nich organy mogą zabiegać u operatora usługi, z pominięciem procedur pomyślanych dla przeszukania czyjegoś domu.

Domyślne miejsce na dokumenty życia

Skala zjawiska rośnie od dekady. Według Eurostatu z przestrzeni dyskowej w internecie do zapisywania dokumentów, zdjęć, muzyki i innych plików korzystało w 2020 roku — ostatnim, dla którego wskaźnik badano — 24,3 procent Polaków w wieku 16–74 lat, trzykrotnie więcej niż w 2014 roku; średnia unijna sięgnęła 35,3 procent (Eurostat, isoc_cicci_use). Infrastrukturalne tło tego wzrostu dokumentuje GUS: dostęp do internetu miało w 2024 roku 95,9 procent polskich gospodarstw domowych, a 61 procent osób załatwiało przez sieć sprawy urzędowe (GUS, „Społeczeństwo informacyjne w Polsce w 2024 r.”). Chmura przestała być narzędziem entuzjastów: przechowuje korespondencję z urzędami, dokumentację medyczną i archiwa rodzinne — dokładnie ten rodzaj rzeczy, które kiedyś trzymało się w domu.

Państwo zresztą samo przesuwa dokumenty obywateli do sieci: 26,2 procent Polaków korzystało w 2024 roku z dostępu do informacji osobistych przechowywanych przez jednostki administracji publicznej, a 29,1 procent odbierało urzędową korespondencję na konto w serwisie lub aplikacji administracji (GUS, 2024). Trudno wymagać od obywatela zaufania do cyfrowego państwa i cyfrowych usług, jeżeli cena za wygodę ma być płacona obniżonym standardem ochrony prywatności.

Bezpieczniki przeszukania kończą się przed serwerownią

Przeszukanie pomieszczeń reguluje rozdział 25 kodeksu postępowania karnego („Zatrzymanie rzeczy. Przeszukanie"): wolno go dokonać w celu wykrycia, zatrzymania albo znalezienia rzeczy mogących stanowić dowód, i tylko wtedy, gdy istnieją uzasadnione podstawy do przypuszczenia, że osoba lub rzeczy tam się znajdują (Kodeks postępowania karnego, Dz.U. 1997 poz. 555). Procedura przewiduje udział zainteresowanego, protokół, możliwość zaskarżenia — zestaw bezpieczników wypracowanych przez dziesięciolecia właśnie dlatego, że wejście władzy w prywatną przestrzeń uznano za ingerencję wymagającą ram.

Pliki w chmurze wypadają z tej logiki w praktyce z dwóch powodów. Po pierwsze, znajdują się we władaniu usługodawcy, więc organ może kierować żądania do firmy, a właściciel danych bywa ostatnią osobą, która się o tym dowiaduje. Po drugie, granica między „danymi telekomunikacyjnymi", po które służby sięgają masowo i bez uprzedniej sądowej zgody — 1 825 683 razy w samym 2023 roku (Fundacja Panoptykon) — a treścią prywatnych zasobów jest dla przeciętnego użytkownika niewidoczna. Standard ochrony zaczyna wtedy zależeć od modelu biznesowego i siedziby usługodawcy zamiast od rangi chronionego prawa.

Co proponuje Razem

Punkt 2 bloku „Cyberbezpieczeństwo bez inwigilacji" brzmi w całości:

Sprawimy, że dostęp organów śledczych do plików przechowywanych na osobistych urządzeniach elektronicznych i w chmurze będzie możliwy jedynie na podstawie nakazu przeszukania. Kopiowanie dokumentów i zdjęć do chmury nie może skutkować osłabieniem prawa do prywatności.— Partia Razem, „Stanowisko ws. cyfryzacji” (2 maja 2018), partiarazem.pl

Konstrukcja jest technologicznie neutralna i przez to odporna na starzenie: nie wylicza usług ani formatów, tylko wiąże poziom ochrony z charakterem zasobu. Prywatne pliki pozostają prywatnymi plikami niezależnie od tego, czy leżą na dysku laptopa, w telefonie, czy na serwerze po drugiej stronie kontynentu — a organ, który chce do nich zajrzeć, przechodzi tę samą drogę, którą musiałby przejść pod drzwiami mieszkania. O tym, że kontrola nad własnymi danymi i wizerunkiem jest też warunkiem równości — bo najsłabiej chronieni tracą ją pierwsi — piszemy w siostrzanym serwisie o równości, w tekście o prawie do kontroli nad własnym wizerunkiem i danymi. Po pozostałe postulaty tej linii, od nadzoru sądowego po retencję danych, warto zajrzeć do huba prywatność i inwigilacja.

Źródła i dalsza lektura

Dwanaście miesięcy z życia każdego numeru

Mon, 20 Jul 2026 10:00:00 +0200

Polskie prawo nakłada na każdego operatora telekomunikacyjnego obowiązek zatrzymywania i przechowywania przez 12 miesięcy, na własny koszt i na terytorium Polski, danych o zrealizowanych połączeniach i nieudanych próbach połączeń wszystkich użytkowników, wraz z danymi pozwalającymi ustalić lokalizację urządzenia (art. 47 Prawa komunikacji elektronicznej, Dz.U. 2024 poz. 1221). Partia Razem w stanowisku ws. cyfryzacji z 2018 roku zapowiedziała rozbiórkę tej konstrukcji: „Zgodnie z wyrokiem Trybunału Sprawiedliwości przyjmiemy przepis zakazujący retencji danych osób, wobec których nie toczy się postępowanie lub działania operacyjne" (stanowisko ws. cyfryzacji, 2018). Obowiązek w obecnym kształcie nie zależy bowiem od żadnego podejrzenia: dane gromadzi się o wszystkich, z góry, na zapas.

Dyrektywa upadła, obowiązek został

Masową retencję wprowadziła do europejskiego prawa dyrektywa 2006/24/WE, uchwalona po zamachach w Madrycie i Londynie. Trybunał Sprawiedliwości UE unieważnił ją wyrokiem z 8 kwietnia 2014 roku w sprawach połączonych C-293/12 i C-594/12 (Digital Rights Ireland i Seitlinger), uznając, że obejmując „w sposób uogólniony wszystkie jednostki, środki łączności elektronicznej i dane o ruchu", bez rozróżnień i wyjątków, dyrektywa ingeruje w prawa podstawowe w stopniu wykraczającym poza to, co ściśle niezbędne (komunikat prasowy TSUE nr 54/14). Trybunał zwrócił przy tym uwagę na rzecz, którą łatwo przeoczyć w technicznej debacie o billingach: dane o ruchu i lokalizacji, zestawione razem, pozwalają odtworzyć nawyki życia codziennego, pokonywane trasy i środowiska społeczne, w których obraca się obserwowany — a więc precyzyjny portret życia prywatnego, bez zaglądania w treść jakiejkolwiek rozmowy.

Tele2 i Watson: krajowe kopie dyrektywy też upadają

Dwa lata później, 21 grudnia 2016 roku, Trybunał domknął tę linię w sprawach połączonych C-203/15 i C-698/15 (Tele2 Sverige i Watson): prawo krajowe przewidujące uogólnioną i niezróżnicowaną retencję danych o ruchu i lokalizacji także narusza prawa podstawowe; upadek samej dyrektywy nie otworzył państwom furtki do utrzymania jej krajowych kopii (komunikat prasowy TSUE nr 145/16). Oba te wyroki istniały już, gdy Razem przyjmowało swoje stanowisko; wyrok w sprawie La Quadrature du Net z 6 października 2020 roku (C-511/18 i sprawy połączone) przyszedł później i linię orzeczniczą potwierdził, dopuszczając jedynie wąskie, czasowe wyjątki związane z poważnym zagrożeniem bezpieczeństwa narodowego (komunikat prasowy TSUE, 2020).

Nowa ustawa, stary automat

Polska miała okazję uporządkować ten obszar przy okazji wielkiej rekodyfikacji prawa telekomunikacyjnego. Prawo komunikacji elektronicznej z 12 lipca 2024 roku, które zastąpiło ustawę z 2004 roku, przeniosło jednak obowiązek rocznej retencji w niemal niezmienionym kształcie — art. 47 nakazuje zatrzymywanie danych wymienionych w art. 49 ust. 1 „przez okres 12 miesięcy, licząc od dnia połączenia lub nieudanej próby połączenia" (Dz.U. 2024 poz. 1221). Fundacja Panoptykon alarmowała w toku prac legislacyjnych, że projekt nie tylko konserwuje model zakwestionowany przez TSUE, ale w pierwotnej wersji szedł dalej: rząd proponował objęcie obowiązkami retencyjnymi także dostawców komunikatorów internetowych i poczty elektronicznej (Panoptykon o projekcie PKE).

Zgromadzone w ten sposób zasoby nie leżą bezczynnie. W 2023 roku policja i dziewięć uprawnionych służb sięgnęły po billingi i dane lokalizacyjne 1 825 683 razy; rok wcześniej — 1 787 885 razy (Fundacja Panoptykon). Po dane retencyjne nie trzeba uprzedniej zgody sądu, więc dwunastomiesięczne archiwum życia każdego numeru pozostaje w praktyce na wyciągnięcie ręki funkcjonariusza.

Co proponuje Razem

Punkt 5 bloku „Cyberbezpieczeństwo bez inwigilacji" wiąże retencję z konkretnym podejrzeniem: dane wolno zatrzymywać wyłącznie o osobach, wobec których toczy się postępowanie lub działania operacyjne; pozostali użytkownicy wypadają z zasięgu obowiązku.

Zgodnie z wyrokiem Trybunału Sprawiedliwości przyjmiemy przepis zakazujący retencji danych osób, wobec których nie toczy się postępowanie lub działania operacyjne.— Partia Razem, „Stanowisko ws. cyfryzacji” (2 maja 2018), partiarazem.pl

Postulat idzie w poprzek utartej praktyki legislacyjnej, w której kolejne rządy — niezależnie od barw — traktowały orzeczenia luksemburskiego Trybunału o retencji jako problem do przeczekania. Wybiórcze podejście do europejskich zobowiązań nie ogranicza się zresztą do danych telekomunikacyjnych: w serwisie Razem dla Europy opisujemy, jak zawieszanie prawa do azylu łamie konstytucję i Kartę praw podstawowych. Pozostałe postulaty prywatnościowe, od nadzoru sądowego po rejestrację kart SIM, mapuje hub prywatność i inwigilacja.