Kontrola operacyjna, uzyskanie historycznych danych o komunikacji i procesowa kontrola rozmów są odrębnymi instrumentami. Różnią się podstawą prawną, zakresem, momentem, organem decydującym oraz sposobem wykorzystania. Wspólny problem brzmi jednak tak samo: jak sprawdzić nie tylko, czy dostęp był formalnie dozwolony, ale czy był konieczny, proporcjonalny, ograniczony i rozliczalny od wniosku aż po zniszczenie danych.

Nadzór nie jest jednym podpisem sądu. To łańcuch zabezpieczeń: precyzyjna podstawa, jakość wniosku, kontrola zewnętrzna, ograniczenia techniczne, rejestr dostępu, selekcja materiału, ochrona tajemnic, możliwość późniejszej kontroli i mierzalna sprawozdawczość.

Artykuł opisuje aktualne ramy po wejściu w życie Prawa komunikacji elektronicznej oraz znaczenie wyroku Europejskiego Trybunału Praw Człowieka w sprawie Pietrzak i Bychawska-Siniarska i inni przeciwko Polsce. Nie przedstawia konfiguracji przechwycenia ani sposobów obchodzenia nadzoru.

Mapa czterech instrumentów

Kontrola operacyjna

Ustawa o Policji przewiduje niejawną kontrolę operacyjną przy realizacji określonych ustawowo zadań i wobec katalogu przestępstw. Jej zastosowanie jest związane z zasadą subsydiarności: inne środki muszą być bezskuteczne albo nieprzydatne. Co do zasady wniosek właściwego organu, zgoda prokuratora i decyzja sądu tworzą kolejne poziomy autoryzacji.

Kontrola może dotyczyć treści i innych form niejawnego pozyskiwania informacji w granicach art. 19. Jest ograniczona czasowo. Przedłużenie wymaga własnego uzasadnienia, nie automatycznego powielenia pierwszej decyzji.

Dane telekomunikacyjne, pocztowe i internetowe

Art. 20c ustawy o Policji reguluje uzyskiwanie danych niestanowiących treści komunikatu. Po zmianach związanych z Prawem komunikacji elektronicznej odesłania dotyczą między innymi danych objętych art. 45 i 49 tej ustawy.

Metadane mogą wskazywać abonenta, identyfikatory, czas, relacje komunikacyjne i lokalizację sieciową. Brak treści nie oznacza małej ingerencji. Długotrwały wykaz kontaktów i lokalizacji może ujawniać życie prywatne, leczenie, praktyki religijne, relacje zawodowe i źródła dziennikarskie.

Procesowa kontrola rozmów

Kodeks postępowania karnego reguluje kontrolę i utrwalanie rozmów w postępowaniu. To instrument procesowy, którego nie należy utożsamiać z kontrolą operacyjną. Inne są przesłanki, organ wnioskujący, jawność dla stron i droga włączenia materiału do akt.

Zabezpieczenie danych w konkretnej sprawie

Retencja generalna oznacza ustawowy obowiązek przechowywania określonych kategorii danych dotyczących ogółu użytkowników. Należy ją odróżnić od nakazu zachowania danych dotyczących konkretnego konta lub zdarzenia na potrzeby postępowania. Pierwszy mechanizm tworzy pulę możliwą do przyszłego użycia, drugi zabezpiecza znany materiał przed rutynowym usunięciem.

Treść, metadane i dane urządzenia

Treść odpowiada na pytanie „co przekazano”. Metadane odpowiadają między innymi „kto technicznie łączył się z kim, kiedy, jak długo i przez jaki element sieci”. Dane urządzenia mogą obejmować znacznie szerszy zbiór: historię aplikacji, pliki, lokalne bazy, sensory i kopie danych sprzed okresu kontroli.

Te warstwy wymagają odrębnej autoryzacji i opisu. Zgoda na przechwycenie przyszłej komunikacji nie może być automatycznie interpretowana jako zgoda na pełne przeszukanie pamięci urządzenia. Wniosek powinien wskazywać funkcję, czas i kategorie informacji, a nie jedynie nazwę technologii.

Określenie „podsłuch telefonu” jest zbyt szerokie. Może oznaczać przechwycenie po stronie operatora, rejestrację mikrofonu, pozyskanie kopii chmurowej, odczyt zabezpieczonego urządzenia albo dostęp do billingu. Nadzór traci sens, jeśli sąd nie wie, którą zdolność autoryzuje.

Retencja po Prawie komunikacji elektronicznej

Prawo komunikacji elektronicznej obowiązuje zasadniczo od 10 listopada 2024 r. Jego art. 47 nakłada na objętych obowiązkiem przedsiębiorców przechowywanie danych określonych w art. 49 przez 12 miesięcy od połączenia lub nieudanej próby połączenia, a następnie ich zniszczenie, chyba że zostały zabezpieczone na innej podstawie.

Art. 49 obejmuje dane potrzebne do identyfikacji zakończenia sieci, urządzenia i użytkownika inicjującego oraz odbierającego połączenie, a także datę, godzinę, czas trwania, rodzaj połączenia i lokalizację urządzenia końcowego. Obowiązek ma być realizowany bez ujawniania komunikatu elektronicznego.

Trzy momenty muszą pozostać rozdzielone:

  1. operator generuje dane podczas świadczenia usługi;
  2. ustawa nakazuje przechowywać wybrane dane przez okres retencji;
  3. uprawniony organ uzyskuje konkretny zestaw na podstawie własnej ustawy kompetencyjnej.

Fakt, że operator ma dane, nie tworzy samodzielnej podstawy dostępu. Obowiązek retencyjny i kompetencja organu to dwa różne przepisy.

Geneza reformy z 2016 r.

Ustawa z 15 stycznia 2016 r., publicznie nazywana „ustawą inwigilacyjną”, zmieniała ustawę o Policji i ustawy innych służb po wyroku Trybunału Konstytucyjnego K 23/11. Wprowadziła między innymi regulację danych internetowych, rejestry wystąpień oraz następcze sprawozdania dla sądów okręgowych.

Arkadiusz Nyzio opisał jej genezę w kontekście wcześniejszej krytyki braku niezależnej kontroli dostępu do danych, wyroku TK i unieważnienia unijnej dyrektywy retencyjnej przez Trybunał Sprawiedliwości. Historyczna analiza jest nadal ważna dla zrozumienia architektury, ale numery odesłań do dawnego Prawa telekomunikacyjnego nie opisują już aktualnego stanu.

Zmiana stworzyła kontrolę następczą nad dostępem do danych komunikacyjnych. Pytanie nie brzmi więc tylko, czy istnieje sąd w procedurze, ale czy otrzymuje materiał umożliwiający ocenę każdego dostępu, ma czas i narzędzia, a wynik kontroli prowadzi do korekty oraz usunięcia danych uzyskanych bez podstawy.

Wyrok ETPC z 2024 r.

W sprawie Pietrzak i Bychawska-Siniarska i inni przeciwko Polsce ETPC jednogłośnie stwierdził trzy naruszenia art. 8 Europejskiej Konwencji Praw Człowieka: w odniesieniu do reżimu kontroli operacyjnej, retencji i dostępu do danych komunikacyjnych oraz tajnej kontroli na podstawie ustawy antyterrorystycznej.

Sprawa dotyczyła systemowych gwarancji, a nie dowodu, że konkretnych skarżących faktycznie inwigilowano. W tajnej kontroli sama konstrukcja prawa może dotyczyć obywatela na tyle bezpośrednio, że wymaga oceny Trybunału.

Wyrok wzmacnia znaczenie kilku zasad:

  • środek musi opierać się na dostatecznie precyzyjnej ustawie;
  • niezależna kontrola musi być realna, nie formalna;
  • zakres podmiotowy, przedmiotowy i czasowy wymaga ograniczeń;
  • dane uprzywilejowane potrzebują szczególnej ochrony;
  • po ustaniu zagrożenia dla celu kontroli znaczenie ma mechanizm notyfikacji lub skutecznego środka;
  • przechowywanie i niszczenie materiału są częścią ingerencji.

Wyrok nie oznacza, że każda kontrola była nielegalna ani że organ nie może stosować niejawnych metod. Oznacza potrzebę naprawy całego reżimu gwarancji.

Projektowane zmiany a stan obowiązujący

W 2026 r. trwały prace nad wzmocnieniem nadzoru sądowego po wyroku ETPC. Rzecznik Praw Obywatelskich w raporcie z kwietnia 2026 r. analizował stan wykonania wyroku i projektowane rozwiązania.

Projekt ustawy nie jest obowiązującym prawem. Artykuł, formularz lub szkolenie powinny osobno oznaczać:

  • normę obowiązującą;
  • prawomocny wyrok wymagający zmian;
  • projekt rządowy;
  • postulat RPO lub organizacji;
  • wewnętrzną dobrą praktykę.

Mieszanie tych poziomów prowadzi do błędu: projektowana notyfikacja może być przedstawiana jako istniejące prawo albo obecna procedura jako zgodna z wyrokiem tylko dlatego, że przygotowano projekt.

Wniosek jako narzędzie kontroli

Sąd może ocenić tylko to, co otrzyma. Wniosek powinien zawierać nie samą konkluzję „inne środki będą nieprzydatne”, lecz fakty pozwalające sprawdzić subsydiarność.

Minimalna karta wniosku obejmuje:

  • osobę, konto, numer, urządzenie lub miejsce;
  • dokładną podstawę i czyn z katalogu;
  • materiał tworzący podejrzenie;
  • źródło i wiarygodność informacji;
  • środek oraz funkcje techniczne;
  • kategorie danych i czas;
  • powiązanie identyfikatora z osobą;
  • rozważone mniej ingerujące działania;
  • ryzyko objęcia osób postronnych i tajemnic;
  • plan selekcji, przechowania i zniszczenia;
  • wynik wcześniejszej kontroli przy przedłużeniu.

Wniosek kopiowany z szablonu utrudnia kontrolę. Pola słownikowe pomagają kompletności, lecz nie zastępują indywidualnego uzasadnienia.

Subsydiarność i konieczność

Subsydiarność wymaga relacji między celem a dostępnymi środkami. Nie zawsze trzeba wykonać każdą teoretyczną czynność, ale trzeba wyjaśnić, dlaczego mniej ingerująca metoda nie osiągnie celu lub grozi utratą informacji.

Ocena powinna rozważyć:

  1. powagę czynu i aktualność zagrożenia;
  2. prawdopodobną wartość informacji;
  3. zakres danych ubocznych;
  4. czas i liczbę osób;
  5. alternatywy;
  6. zabezpieczenia po pozyskaniu.

Konieczność nie jest oceniana raz. Jeśli cel osiągnięto albo identyfikator przestał należeć do osoby, kontrolę należy zakończyć lub zmienić podstawę.

Proporcjonalność zakresu

Sąd powinien móc autoryzować zakres węższy niż wnioskowany. Parametry obejmują czas, kategorie danych, funkcje, identyfikatory i sposób traktowania osób trzecich.

Przykładowo analiza kontaktów może nie wymagać treści komunikacji. Ustalenie obecności w krótkim przedziale może nie uzasadniać rocznej historii lokalizacji. Ochrona przed jednym zdarzeniem nie usprawiedliwia stałego monitorowania bez ponownej oceny.

Proporcjonalność techniczna oznacza egzekwowanie decyzji przez system. Jeśli decyzja ogranicza okres, interfejs nie powinien bez ostrzeżenia zwracać danych poza nim.

Przypadek niecierpiący zwłoki

Tryb pilny służy sytuacjom, w których oczekiwanie grozi utratą informacji lub poważną szkodą. Nie powinien naprawiać spóźnionego planowania.

Dokumentacja pilnego uruchomienia wskazuje:

  • kiedy powstała potrzeba;
  • dlaczego nie można było uzyskać zwykłej decyzji;
  • kto zarządził działanie;
  • dokładny zakres;
  • kiedy skierowano wniosek o zatwierdzenie;
  • co zrobiono z materiałem po odmowie.

Materiał uzyskany w trybie pilnym nie staje się legalny tylko dlatego, że był przydatny. Następcza kontrola musi być zdolna odmówić i wywołać skutki.

Kontrola ex ante i ex post

Kontrola uprzednia chroni przed rozpoczęciem ingerencji. Kontrola następcza może ocenić realny zakres, wykorzystanie i zniszczenie. Nie są substytutami — dojrzały system używa obu odpowiednio do instrumentu.

Ex ante wymaga czasu i kompletnego wniosku. Ex post wymaga pełnych logów, dostępu do uzasadnień i możliwości wydania wiążącego rozstrzygnięcia.

Losowe przeglądanie niewielkiej próbki zapytań może nie wykryć nadużycia celowego, zwłaszcza gdy nie zna się mianownika i reguły doboru. Audyt powinien łączyć kontrolę ryzykownych przypadków, próbę losową i analizę wszystkich zapytań według anomalii.

Tajemnice zawodowe

Kontakt z obrońcą, dziennikarzem, lekarzem, duchownym lub innym podmiotem tajemnicy może ujawnić chronioną relację już na poziomie metadanych. Treść zwiększa ryzyko, ale go nie tworzy od zera.

Zabezpieczenia mogą obejmować:

  • rozpoznanie ryzyka we wniosku;
  • podwyższony próg autoryzacji;
  • techniczne filtrowanie identyfikatorów;
  • niezależną selekcję przed przekazaniem zespołowi;
  • zamknięty rejestr dostępu;
  • natychmiastowe odseparowanie przypadkowo pozyskanej treści;
  • regułę niszczenia i potwierdzenie wykonania.

Sam funkcjonariusz prowadzący nie powinien decydować o wykorzystaniu materiału dotyczącego obrońcy, jeżeli wynik może wpływać na jego sprawę.

Osoby postronne

Kontrola jednego numeru obejmuje rozmówców. Kontrola miejsca może objąć domowników. Konto lub urządzenie może być współdzielone. System powinien minimalizować dane osób niezwiązanych z celem.

Nie wystarczy oznaczenie „kontakt uboczny”. Trzeba określić:

  • kiedy materiał staje się istotny;
  • kto dokonuje pierwszej selekcji;
  • czy prowadzący może go zobaczyć;
  • jak długo jest przechowywany;
  • czy zostanie użyty w innej sprawie;
  • jak dokumentuje się zniszczenie.

Wtórne użycie do innego celu wymaga własnej podstawy i kontroli. Praktyczna wygoda nie jest kompatybilnością celu.

Logi jako dowód rozliczalności

Rejestr powinien odpowiadać: kto, kiedy, na jakiej podstawie, do jakich danych uzyskał dostęp, co wyeksportował, komu przekazał i kiedy usunął.

Dobry log zawiera:

  • jednoznacznego użytkownika;
  • rolę i jednostkę;
  • identyfikator sprawy i decyzji;
  • parametry zapytania;
  • liczbę wyników;
  • eksporty i wydruki;
  • zmianę uprawnień;
  • nieudane próby;
  • czas ze zsynchronizowanego źródła;
  • wynik przeglądu nadzorczego.

Wspólne konto niszczy rozliczalność. Log przechowywany wyłącznie w systemie administrowanym przez audytowany zespół może być podatny na zmianę; potrzebuje ochrony integralności i niezależnej retencji.

Minimalizacja po pozyskaniu

Legalne pozyskanie nie usprawiedliwia przechowywania wszystkiego. Materiał przechodzi selekcję:

  1. kontrolę technicznej zgodności z decyzją;
  2. odseparowanie danych uprzywilejowanych;
  3. ocenę związku z celem;
  4. oznaczenie materiału dowodowego;
  5. usunięcie lub zablokowanie danych zbędnych;
  6. kontrolę wykorzystania wtórnego;
  7. zakończenie i potwierdzenie zniszczenia.

Kopia robocza, backup i eksport do narzędzia analitycznego są nadal danymi. Zniszczenie w systemie źródłowym nie jest pełne, jeśli materiał pozostaje w repozytorium zespołu.

Droga od informacji operacyjnej do dowodu

Materiał operacyjny może ukierunkować postępowanie albo, pod warunkami ustawy, zostać przekazany do wykorzystania procesowego. Trzeba zachować ciąg decyzji, integralność, czas i zakres.

Transkrypcja nie zastępuje nagrania. Tłumaczenie nie zastępuje materiału w języku źródłowym. Wycięty fragment nie pokazuje kontekstu. Pakiet dowodowy powinien umożliwiać stronie i biegłemu kontrolę wyboru.

Należy oddzielić:

  • identyfikację abonenta;
  • identyfikację użytkownika urządzenia;
  • identyfikację rozmówcy;
  • interpretację treści;
  • wniosek o udziale w czynie.

Jeden etap nie wynika automatycznie z poprzedniego.

Sprawozdawczość: właściwy mianownik

Jawna informacja Prokuratora Generalnego dotyczy liczby osób, wobec których skierowano wnioski o kontrolę i utrwalanie rozmów lub kontrolę operacyjną, ze wskazaniem decyzji. Inne rejestry mogą liczyć wnioski i zarządzenia. Jedna osoba może mieć kilka wniosków.

Dlatego wskaźnik odmów ma co najmniej dwa mianowniki:

  • osoby objęte wnioskami;
  • poszczególne wnioski lub decyzje.

Nie można dzielić liczby odmów wobec osób przez liczbę formularzy. Statystyka powinna także odróżnić pierwsze zarządzenie, przedłużenie, tryb pilny i różne służby.

Niska liczba odmów nie dowodzi automatycznie fasadowości — wnioski mogą być filtrowane przez prokuratora przed sądem. Nie dowodzi też wysokiej jakości. Potrzebne są dane o zwrotach do uzupełnienia, ograniczeniu zakresu, czasie rozpoznania i wynikach kontroli ex post.

Mierniki jakości nadzoru

Sama liczba kontroli nie wystarcza. System może mierzyć:

  • udział wniosków odrzuconych i ograniczonych;
  • udział zwróconych do uzupełnienia;
  • czas rozpoznania zwykły i pilny;
  • liczbę przedłużeń na osobę;
  • zakres danych na wniosek;
  • liczbę osób postronnych;
  • materiał objęty tajemnicą;
  • przypadki przekroczenia czasu lub identyfikatora;
  • dane zniszczone i termin zniszczenia;
  • naruszenia wykryte przez audyt;
  • liczbę zawiadomień po zakończeniu, jeśli prawo je przewiduje;
  • skuteczność środków odwoławczych.

„Skuteczność” nie powinna oznaczać jedynie liczby uzyskanych dowodów. Środek może być legalny i konieczny mimo braku wyniku; może też dostarczyć dowodu, choć był nieproporcjonalny.

Niezależność audytu

Audytor potrzebuje dostępu do wniosku, decyzji, konfiguracji, logów, materiału i protokołu zniszczenia. Sprawdzenie samej tabeli zbiorczej nie wykryje, że system pobrał dane poza zakresem.

Niezależność wymaga braku interesu w wyniku operacji, odpowiednich uprawnień i kompetencji technicznych. Sąd może potrzebować biegłego lub wyspecjalizowanego zaplecza do oceny funkcji narzędzia.

Kontrola parlamentarna odpowiada za wzorce systemowe i politykę, sądowa za legalność indywidualnej ingerencji, prokuratorska za etap wniosku i wykorzystania, wewnętrzna za zgodność operacyjną, a organ ochrony danych za własny zakres kompetencji. Żadna sama nie wypełnia wszystkich ról.

Incydent i reakcja

Przykładowe incydenty to użycie niewłaściwego identyfikatora, działanie po upływie decyzji, dostęp bez uprawnienia, utrata eksportu, ujawnienie tajemnicy albo brak zniszczenia.

Plan reakcji powinien:

  1. zatrzymać dalsze pozyskanie;
  2. zachować logi i konfigurację;
  3. odseparować materiał;
  4. zawiadomić właściwy nadzór;
  5. ocenić wpływ na osoby i postępowania;
  6. naprawić uprawnienia lub integrację;
  7. podjąć decyzję o wykorzystaniu albo zniszczeniu;
  8. udokumentować przyczynę źródłową;
  9. sprawdzić podobne przypadki.

Usunięcie błędnego pliku bez zachowania śladu incydentu uniemożliwia rozliczenie.

Lista kontrolna pojedynczej kontroli

Czy instrument prawny został prawidłowo nazwany?

Czy czyn należy do właściwego katalogu?

Czy materiał źródłowy uzasadnia podejrzenie?

Czy wykazano subsydiarność konkretnymi faktami?

Czy funkcje techniczne opisano sądowi?

Czy zakres czasu, osób i danych jest proporcjonalny?

Czy przewidziano osoby postronne i tajemnice?

Czy tryb pilny ma rzeczywistą podstawę?

Czy system egzekwuje początek i koniec decyzji?

Czy log wiąże dostęp z użytkownikiem oraz sprawą?

Czy materiał poza zakresem został odseparowany?

Czy wtórne użycie ma odrębną podstawę?

Czy kopie i backupy są objęte retencją oraz zniszczeniem?

Czy przedłużenie opisuje wynik i aktualną potrzebę?

Czy osoba ma realny środek kontroli po ustaniu tajności?

Wnioski

Nadzór nad inwigilacją jest skuteczny tylko wtedy, gdy łączy prawo z architekturą techniczną. Precyzyjna decyzja niewiele daje, jeśli system pobiera szerszy zakres. Doskonały log niewiele daje, jeśli kontroler nie ma dostępu ani czasu. Sprawozdanie o osobach jest mylące, jeśli porównuje się je z liczbą wniosków.

Aktualne Prawo komunikacji elektronicznej utrzymuje dwunastomiesięczną retencję określonych danych. Wyrok ETPC z 2024 r. stwierdził systemowe naruszenia art. 8, a prace naprawcze nie mogą być przedstawiane jako już obowiązujące rozwiązanie.

Docelowy model obejmuje indywidualne uzasadnienie, realną kontrolę uprzednią i następczą, ochronę tajemnic, techniczną minimalizację, pełny log, zniszczenie wszystkich kopii oraz skuteczny środek po zakończeniu tajności. To cały cykl, nie pojedyncza zgoda.

Źródła

Zastrzeżenie

Stan prawny tej dziedziny zmienia się, a w 2026 r. toczyły się prace legislacyjne po wyroku ETPC. Przed zastosowaniem należy sprawdzić aktualne brzmienie ustaw i etap projektu; artykuł nie jest instrukcją prowadzenia kontroli.