Inaczej za chwilę będziemy regulacyjnie w lesie, a sądy w Luksemburgu i Strasburgu będą nam to regularnie przypominać
TSUE uznał, że już samo zatrzymanie telefonu i próba jego odblokowania w toku postępowania karnego uruchamia „przetwarzanie danych osobowych” – nawet gdy technicznie nie uda się tych danych odczytać. To ważny zwrot: nie chodzi tylko o efekt (pozyskane pliki), ale o sam proces i ryzyko głębokiej ingerencji w prywatność. A ingerencja może być poważna, bo smartfon bywa skrótem do całego życia: wiadomości, zdjęcia, historia przeglądania, dane o zdrowiu czy światopoglądzie.
Jeśli państwo chce taki dostęp, musi mieć przepisy precyzyjne, proporcjonalne, z realną uprzednią kontrolą sądu lub niezależnego organu – poza uzasadnionymi przypadkami nagłymi. Po ustaniu ryzyka osoba powinna być o takich działaniach poinformowana, by móc dochodzić środków ochrony prawnej.
Czytaj też: Obywatele mają prawo wiedzieć, kto i kiedy sprawdza, czy piorą pieniądze. UODO chce, by Polska weszła do gry
UODO przypomina przy tym, że to nie jest pierwszy sygnał alarmowy z Luksemburga
W tle mamy całą linię orzeczniczą – od Digital Rights Ireland, przez Tele2/Watson, po La Quadrature du Net – w której TSUE wykuwa standard: dostęp służb do danych to wyjątek, a nie reguła, i musi być obwarowany konkretnymi bezpiecznikami. Polska regulacja nie składa się w ten obrazek.
Wskazany przez UODO art. 19 ustawy o Policji – filar tzw. kontroli operacyjnej – nie zapewnia dziś realnych gwarancji. Sąd okręgowy niby kontroluje, ale nie ma obowiązku uzasadniania postanowienia, więc z perspektywy obywatela kontrola bywa iluzoryczna. Brakuje też mechanizmu poinformowania „po fakcie” osoby objętej środkiem oraz drogi odwoławczej.
Katalog przestępstw uprawniających do sięgnięcia po tak daleko idące narzędzia jest szeroki i nie dość ostro skrojony pod zasadę proporcjonalności. To wszystko – twierdzi UODO – odstaje od standardu TSUE.
Nie lepiej wypada ocena Strasburga
28 maja 2024 r. ETPC w sprawie Pietrzak, Bychawska-Siniarska i inni vs. Polska stwierdził naruszenie art. 8 EKPC, bo nasze prawo nie daje wystarczających zabezpieczeń przed nadmierną ingerencją w prywatność i tajemnicę adwokacką. Brak wymogu „uzasadnionego podejrzenia” po stronie sądu, brak powiadomień po czasie, brak skutecznego środka odwoławczego – to nie są drobne technikalia, tylko elementarne warunki legalności nadzoru.
List UODO nie ogranicza się do krytyki. Padają konkretne adresy do „napraw”: prawo telekomunikacyjne (m.in. art. 180c i 180d), kodeks postępowania karnego (art. 217 §1, 218 §1 w zw. z 236a), no i właśnie ustawa o Policji (art. 19 i 20c). Przekaz jest jasny – systemowo trzeba dopiąć trzy rzeczy: zawęzić i doprecyzować przypadki, gdy służby mogą sięgać po dane; wzmocnić uprzednią, realną kontrolę sądową z obowiązkiem rzetelnego uzasadnienia; zapewnić ex post informowanie osób i skuteczną ścieżkę weryfikacji, gdy tajne środki już wygasną.
Warto dodać akcent praktyczny
Po wyroku TSUE w sprawie C-548/21 samo „zabezpieczenie” telefonu i przykładanie go do czytnika – bez pomyślnego odczytu – nie jest poza prawem. To czynność przetwarzania danych, która musi mieścić się w ramach określonych przez ustawodawcę. UODO słusznie wskazuje, że smartfon to magazyn danych szczególnych kategorii – zdrowie, seksualność, poglądy polityczne – więc próg ingerencji prawnie dopuszczalnej musi być ustawiony wysoko, nie „na wszelki wypadek”.
Czy to się wydarzy szybko? Prezes UODO przypomina, że już 15 listopada 2024 r. wysłał opinię do ministra ds. UE i nie doczekał się odpowiedzi. Teraz puka do drzwi MSWiA, prosząc o formalne stanowisko w ciągu 30 dni od doręczenia. W tle mamy nie tylko ryzyko kolejnych potknięć przed ETPC/TSUE, ale też bardzo przyziemne konsekwencje procesowe: dowody uzyskane z naruszeniem standardu mogą być łatwym celem dla obrońców, a później – problemem dla prokuratury i sądów.
Z punktu widzenia obywatela stawką nie jest „komfort przestępców”, tylko zwykła higiena państwa prawa. Demokratyczna inwigilacja – jeśli w ogóle ma istnieć – działa według reguł: wąski katalog celów, realna zgoda sądu z uzasadnieniem, minimalizacja danych, powiadomienie po czasie, kontrola następcza. Piłka jest po stronie rządu.
