Biuletyn Informacji Publicznej RPO

• Policja i służby specjalne mogą w bardzo szerokim zakresie i bez kontroli sprawdzać, z kim obywatel rozmawiał  przez komórkę, poznawać lokalizację telefonu czy spis połączeń internetowych
• Służby sięgają po takie dane, bo jest to po prostu dla nich najprostsze i najwygodniejsze - a dana osoba nie jest o tym informowana
• RPO wiele razy wskazywał, że pobór danych powinien być ograniczony do zwalczania najważniejszych przestępstw i być kontrolowany przez niezależny organ; obywatel powinien zaś dowiadywać sie, że był tak inwigilowany
• Dziś sądy faktycznie sprawdzają to post factum na podstawie ogólnych sprawozdań służb – w efekcie nie mogą rzetelnie ocenić zasadności, adekwatności i celowości tych działań

W związku z wyrokiem Trybunału Sprawiedliwości Unii Europejskiej z 2 marca 2021 r. (sprawa C-746/18 Prokuratuur) Rzecznik Praw Obywatelskich wystąpił do premiera Mateusza Morawieckiego o zainicjowanie odpowiednich zmian legislacyjnych. Chodzi  o wyważanie między potrzebą ochrony bezpieczeństwa obywateli a ich prawem do prywatności.

RPO od dawna monitoruje kwestie zbierania i wykorzystywania przez policję i służby specjalne  danych telekomunikacyjnych, w tym spisów połączeń czy lokalizacji telefonów komórkowych obywateli. Wymogi bezpieczeństwa państwa nie oznaczają, że prowadzenie takiej inwigilacji ma nie podlegać ograniczeniom wynikającym z konstytucyjnych praw i wolności. A w tym zakresie jednostka ma bardzo ograniczone środki bezpośredniej ochrony prawnej.

Wskazuje na to najnowszy wyrok Trybunału Sprawiedliwości Unii Europejskiej z 2 marca 2021 r. wydany w sprawie C-746/18 Prokuratuur.

Wyrok TS UE

TSUE orzekł, że art. 15 ust. 1 dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z 12 lipca 2002 r. o prywatności i łączności elektronicznej  oraz art. 52 ust. 1 Karty praw podstawowych UE należy interpretować w ten sposób, że sprzeciwiają się przepisom krajowym umożliwiającym dostęp organów władzy publicznej do zbioru danych o ruchu lub danych o lokalizacji, które mogą dostarczyć informacji o połączeniach wykonywanych przez użytkownika środka łączności elektronicznej lub o lokalizacji używanego przez niego urządzenia końcowego oraz umożliwić wyciągnięcie precyzyjnych wniosków na temat jego życia prywatnego, do celów zapobiegania, dochodzenia, wykrywania i karania przestępstw - bez ograniczania takiego dostępu do postępowań mających na celu zwalczanie poważnej przestępczości lub zapobieganie poważnym zagrożeniom bezpieczeństwa publicznego, niezależnie od długości okresu, na jaki wniesiono o dostęp do danych oraz ich liczby i rodzaju.

TS przypomniał, że art. 15 ust. 1 dyrektywy o prywatności i łączności elektronicznej w związku z art. 7, 8 i 11 oraz art. 52 ust. 1 KPP stoi na przeszkodzie środkom ustawodawczym przewidującym w tych celach prewencyjne uogólnione i niezróżnicowane zatrzymywanie danych o ruchu i danych o lokalizacji. Jedynie walka z poważną przestępczością i zapobieganie poważnym zagrożeniom bezpieczeństwa publicznego mogą uzasadniać poważne ingerencje w prawo do poszanowania życia prywatnego i rodzinnego oraz prawo do ochrony danych osobowych, takie jak te związane z zatrzymywaniem danych o ruchu i danych o lokalizacji, które mogą dostarczyć informacji o połączeniach wykonywanych przez użytkownika środka łączności elektronicznej lub o lokalizacji używanych przez niego urządzeń końcowych i umożliwiają wyciągnięcie precyzyjnych wniosków na temat życia prywatnego.

Ingerencja w te prawa ma w każdym wypadku poważny charakter, niezależnie od długości okresu na jaki się wnosi o dostęp do wspomnianych danych. W każdym wypadku powinno dojść do spełnienia wymogu proporcjonalności a odstępstwa od poszanowania prywatności czy danych osobowych powinny być ograniczone do tego, co jest ściśle niezbędne do celów danego dochodzenia – podkreślił  TS.

Polskie przepisy - niezgodne z Konstytucją i prawem unijnym

Rzecznik wskazuje, że polskie prawo nie spełnia wymogów wynikających z prawa UE, które znalazły odzwierciedlenie w tym wyroku TS UE. Uchwalona 15 stycznia 2016 r. nowelizacja ustaw „policyjnych”  dała służbom prawo do uzyskiwania danych telekomunikacyjnych, internetowych i pocztowych oraz do przetwarzania tych danych bez wiedzy i zgody osoby, której dotyczą. Prawo to przyznane zostało w celu zapobiegania lub wykrywania przestępstw albo w celu ratowania życia lub zdrowia ludzkiego bądź wsparcia działań poszukiwawczych lub ratowniczych.

Ustawa ta nie spełnia kryteriów uzasadniających ograniczenie praw i wolności obywatelskich, wynikających z Konstytucji. Podaje to w wątpliwość zgodność ustawy z art. 2, 30, 47, 49, 51 ust. 2 Konstytucji w zw. z art. 31 ust. 3 oraz art. 8 EKPC i art. 7 i 8 w zw. z art. 52 ust. 1 KPP UE.

Katalog przestępstw, w których przypadku dopuszczalne jest uzyskiwanie i przetwarzanie tych danych przez poszczególne służby jest nadmiernie szeroki, co wskazuje na przekroczenie granic, o których mowa w art. 31 ust. 3 Konstytucji, art. 8 ust. 2 EKPC oraz art. 52 ust. 1 KPP UE. Nie wskazano poszczególnych typów czynów zabronionych, które uzasadniałyby sięgnięcie po tego typu dane o obywatelach, lecz użyto ogólnego określenia „przestępstwa”. Oznacza to możliwość uzyskiwania danych w odniesieniu do wszystkich czynów spełniających znamiona jakiegokolwiek przestępstwa, w tym ściganego na wniosek lub z oskarżenia prywatnego. To nadmierna ingerencja w prawo do prywatności i w prawo do ochrony danych osobowych, a także naruszenie zasady autonomii informacyjnej, wyrażone w art. 47, 49 oraz 51 ust. 2 Konstytucji, przez co naruszona jest również zasada godności człowieka (art. 30 Konstytucji).

Daje to służbom możliwość uzyskiwania danych w postępowaniach w sprawie bliżej nieokreślonych czynów zabronionych, bez względu na ich szkodliwość społeczną. Otwiera to możliwość wykorzystywania danych telekomunikacyjnych, pocztowych i internetowych nie tylko wówczas, gdy jest to rzeczywiście konieczne do wykrywania lub zapobiegania przestępstwom, ale także wtedy, gdy jest to po prostu najprostsze i najwygodniejsze.

Na konieczność precyzyjnego uregulowania zakresu przestępstw, w których dopuszczalne jest sięganie po te dane, wskazywały Europejski Trybunał Praw Człowieka (ETPC) i TS UE.  Przepisy ustawy są zatem niezgodne także z art. 8 EKPC oraz 7 i 8 w zw. z art. 52 ust. 2 KPP UE.

Adam Bodnar podkreśla, że szeroki zakres informacji, do których mają dostęp służby, pozwala na szerokie i precyzyjne odtworzenie różnych aspektów życia prywatnego. Może również prowadzić do budowania profilu osobowego osób uczestniczących w procesie komunikacji, a co za tym idzie – do ustalenia ich trybu życia, przynależności do organizacji społecznych czy politycznych, osobistych upodobań czy skłonności osób poddanych obserwacji.

Potwierdzają to wyniki kontroli Najwyższej Izby Kontroli „Uzyskiwanie i przetwarzanie przez uprawnione podmioty danych z bilingów, informacji o lokalizacji oraz innych danych, o których mowa w art. 180c i d ustawy Prawo telekomunikacyjne”. W ocenie NIK przepisy te nie chronią w stopniu wystarczającym praw i wolności obywatelskich przed nadmierną ingerencją ze strony państwa. System zbierania informacji o zakresie wykorzystania przez danych z bilingów, informacji o lokalizacji oraz innych danych nie pozwala na określenie rzeczywistej liczby sprawdzeń. Brak jest również mechanizmów kontroli o charakterze zewnętrznym, które pozwoliłyby na weryfikację zakresu wykorzystywania danych telekomunikacyjnych przez uprawnione podmioty, a w szczególności zasadności ich pozyskiwania i przetwarzania.

Wyrok TK z 2014 r. i jego następstwa

RPO zainicjował postępowanie przed Trybunałem Konstytucyjnym w sprawie K 23/11. W wyroku z 30 lipca 2014 r. TK stwierdził niekonstytucyjność części zaskarżonych przepisów, co miało doprowadzić do stworzenia systemu przetwarzania danych opartego na konstytucyjnym standardzie ochrony prywatności. Ustawodawca nie spełnił niestety tych nadziei. Mająca wykonywać wyrok nowelizacja z 5 stycznia 2016 r. znacząco poszerzyła możliwości ingerencji służb w sferę prywatności obywateli.

Znowelizowane przepisy nie tylko nie realizują wyroku TK, ale w poważnym zakresie naruszają konstytucyjne prawa i wolności człowieka oraz standardy międzynarodowe. Służby uzyskały np. dostęp do danych internetowych za pomocą stałego łącza. Pobieranie tych danych nie musi się wiązać z żadnym toczącym się postępowaniem. Służby nie muszą już - tak jak przedtem - składać pisemnych wniosków do dostawców usług internetowych i wykazywać, na potrzeby jakiego postępowania dane są im potrzebne.

Oznacza to, że dane te mogą być zbierane nie tylko wówczas, gdy jest to rzeczywiście konieczne do wykrywania lub zapobiegania najpoważniejszym przestępstwom, którym inaczej nie da się przeciwdziałać (jak wskazują standardy wynikające z Konstytucji i prawa europejskiego), ale także wtedy, gdy jest to dla służb po prostu wygodne. Oznacza to ryzyko poważnych nadużyć. Służby mogą na tej podstawie np. precyzyjnie odtwarzać różne aspekty życia prywatnego obywatela, zbierać dane o trybie życia, poglądach, upodobaniach czy skłonnościach.

Inny zarzut wobec nowelizacji to nieproporcjonalnie długi czasu trwania kontroli operacyjnej - do 18 miesięcy. Ponadto znowelizowane przepisy ograniczyły chronioną prawem tajemnicę zawodów zaufania publicznego, m.in. adwokatów, radców prawnych, lekarzy i dziennikarzy. Zdobyte podczas inwigilacji tajemnice mogą bowiem być wykorzystane w postępowaniu karnym, gdy „jest to niezbędne ze względu na dobro wymiaru sprawiedliwości, a okoliczność ta nie może być ustalona na podstawie innego dowodu”.

W czerwcu 2016 r. Komisja Wenecka uznała, że nowelizacja nadaje służbom zbyt szerokie kompetencje, które mogą uderzać w prawo do prywatności obywateli. Oceniła m.in., że dostęp służb do najbardziej wrażliwych danych telekomunikacyjnych i internetowych powinien wymagać uprzedniej zgody sądu; nadzór nad zbieraniem mniej wrażliwych danych powinien sprawować niezależny organ, a jednostka powinna być informowana o ich pobraniu; system składania sądom ogólnych sprawozdań przez służby będzie zaś nieskuteczny. Komisja Wenecka zalecała m.in. by pozyskiwanie najważniejszych danych telekomunikacyjnych i internetowych ograniczyć do najgroźniejszych sytuacji; by skrócić czas przechowywania danych oraz zadbać o nienaruszanie tajemnicy adwokackiej.

Rozwiązania polskie są niezgodne z wyrokiem TSUE, który podkreślił, że dyrektywa o prywatności i łączności elektronicznej stoi na przeszkodzie środkom ustawodawczym nakładającym na dostawców usług łączności elektronicznej obowiązek prewencyjnego, uogólnionego i niezróżnicowanego zatrzymywania danych o ruchu i danych o lokalizacji. Są one też niezgodne z tą dyrektywą w zakresie w jakim pozwalają na korzystanie z tego typu danych w każdym postępowaniu, a nie jedynie w postępowaniu zmierzającym do zwalczania poważnej przestępczości lub zapobiegania poważnym zagrożeniom dla bezpieczeństwa publicznego.  Tylko bowiem to ostatnie może uzasadniać dostęp organów władzy publicznej do zbioru danych, które umożliwiają wyciągnięcie precyzyjnych wniosków na temat życia prywatnego osób, których dane dotyczą.

Niewystarczająca kontrola działań służb

Obecna forma kontroli jest niewystarczająca. Kontrola następcza nie powinna być stosowana domyślnie, lecz może być dopuszczalna jedynie wyjątkowo, w sytuacjach, w których zachodzi potrzeba natychmiastowego działania służb. Przepisy nie przewidują przeprowadzenia kontroli uprzedniej. A dzięki niej  sięganie po dane mogłoby podlegać rzetelnej ocenie pod względem spełniania kryteriów niezbędności, adekwatności i celowości. Zgodnie z art. 51 ust. 2 Konstytucji RP, władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach, niż niezbędne w demokratycznym państwie prawnym. Aktualna forma kontroli nie gwarantuje w sposób realny przestrzegania tych zasad.

Żadnej kontroli nie podlega uzyskiwanie danych, pozyskiwanych na podstawie art. 20cb ust. 1 ustawy o Policji. Ustawa o Policji i analogicznie pozostałe ustawy spod jakiejkolwiek kontroli wyłączają zatem pozyskiwanie danych nie tylko określonych w art. 179 ust. 9 Prawa telekomunikacyjnego, ale również całego art. 161 Prawa telekomunikacyjnego, co znacząco poszerza zakres dostępu do danych wyłączonych spod jakiejkolwiek kontroli. A ten artykuł Prawa telekomunikacyjnego odnosi się do bliżej nieokreślonych „innych danych”.

TSUE wskazał, że dyrektywa stoi na przeszkodzie przepisom krajowym przyznającym prokuraturze - której zadaniem jest kierowanie postępowaniem przygotowawczym oraz sprawowanie funkcji oskarżyciela publicznego w ramach późniejszego postepowania - kompetencję do udzielania zezwoleń na dostęp organu władzy publicznej do danych o ruchu i danych o lokalizacji do celów postępowania przygotowawczego. Istotne jest, aby sąd dokonujący uprzedniej kontroli dysponował wszelkimi uprawnieniami i gwarancjami niezbędnymi do pogodzenia poszczególnych wchodzących w grę interesów i praw. W postępowaniu przygotowawczym taka kontrola wymaga, aby sąd był w stanie zapewnić właściwą równowagę pomiędzy interesami związanymi z potrzebami dochodzenia w ramach zwalczania przestępczości oraz prawami podstawowymi do poszanowania życia prywatnego i ochrony danych osobowych osób, których dane są udostępniane.

Polskie regulacje nie przewidują jednak realnej kontroli pobierania danych obywateli. Sąd okręgowy ma wprawdzie prawo do kontroli, ale jedynie na podstawie ogólnych, zbiorczych półrocznych sprawozdań służb. Sąd nie musi, ale tylko może weryfikować, czy dane pobrano zasadnie.

Po kontroli sąd może jedynie poinformować daną służbę o jej wynikach, ale nie może zarządzić np. zniszczenia zgromadzonych danych lub innych działań naprawczych. W praktyce ta kontrola sądów ma zatem charakter iluzoryczny. Tajne sprawozdania służb nie są informacją publiczną, choć zawierają informacje dotyczące liczby pozyskanych danych telekomunikacyjnych, pocztowych lub internetowych i kwalifikacji prawnej czynów, w związku z którymi o nie wystąpiono.

„Owoce zatrutego drzewa”

Z wyroku TSUE wynika także konieczność wykluczenia informacji i dowodów uzyskanych z naruszeniem przepisów prawa Unii. Stwarza to zagrożenie dla zasady kontradyktoryjności, a tym samym prawa do rzetelnego procesu.

Tymczasem art. 168a Kodeksu postępowania karnego zachęca wręcz służby państwowe do pozyskiwania dowodów w drodze popełniania przestępstw i łamania procedur – z zapewnieniem, że będą mogły być wykorzystane w postępowaniu karnym. W istocie unieważnia to wszelkie - i tak szczątkowe - mechanizmy kontroli nad pozyskiwaniem danych o obywatelach.

Niezbędne jest zatem takie uregulowanie, aby nie mogły zostać wykorzystane dowody zgromadzone z naruszeniem prawa czy to krajowego, czy też unijnego. Powinny być one wyeliminowane z materiału dowodowego stanowiącego podstawę rozstrzygnięcia. Postulować należy zatem pilną zmianę  art. 168a k.p.k., przywracającą mu treść sprzed nowelizacji z 2016 r. W obecnym brzmieniu przepis ten jest bowiem jawnie i oczywiście niekonstytucyjny.

- Ponure świadectwo o Polsce stanowi utrzymywanie regulacji, która zachęca organy państwa do łamania prawa i zapewnia, że nielegalne działania zostaną usankcjonowane w procesie karnym – podkreśla Adam Bodnar.

II.519.109.2015