W konsultacjach publicznych znajduje się ciekawy projekt ustawy tworzącej dla Agencji Wywiadu i Służby Wywiadu Wojskowego nowe zasady dostępu do tzw. “międzynarodowego ruchu telekomunikacyjnego”. Pojęcie to oznacza transmisję informacji przez terytorium Polski, niezależnie od jej rodzaj. Chodzi o sytuacje gdy nadawca lub odbiorca transmisji znajduje się poza terytorium RP. Do tej kategorii należy więc komunikacja zagranica-zagranica przechodząca przez polską infrastrukturę i komunikacja Polska-zagranica oraz zagranica-Polska. Firmy telekomunikacyjne miałyby stworzyć środowisko pozwalające służbom dostęp do tego ruchu oraz pozyskiwanie i przetwarzanie informacji z niego. Służby - AW i SWW - otrzymują więc uprawnienie do pozyskiwania i przetwarzania informacji z takiego ruchu sieciowego.

Projekt ten, pod względem zakresu technicznego daje polskim służbom uprawnienia quasi-SIGINT, które mają już inne zachodnie instytucje tego rodzaju - jak niemiecki BND (tu nawet jest wzmocnienie), francuska DGSE, brytyjskie GCHQ. Takie zasady funkcjonują. Jest to więc ciekawa okazja by porównać te zasady i w wyniku tego przedstawić analizę krytyczną w celu - być może - wyciągnięcia wniosków co do ewentualnych usprawnień.

Projekt ten zawiera niezbyt precyzyjne zasady i ograniczenia dotyczące takiego przetwarzania. Już w samym projektowanym Art. 43b przewiduje się, że międzynarodowy ruch telekomunikacyjny może być przetwarzany “przez okres niezbędny do realizacji zadań”. Co to znaczy? Jaki to okres? Żadnego maksymalnego okresu nie zdefiniowano. W przypadku zachodnich zasad takiego dostępu jest to definiowane precyzyjniej. Przykładowo niemiecki projekt przewiduje 6 miesięcy dla nieprzejrzanych jeszcze danych-treści i do 12 miesięcy dla metadanych.

Informacje “nieprzydatne do realizacji ustawowych zadań” mają być usunięte, a szefowie AW lub Szef SWW minimum raz na pół roku mają przeprowadzić przegląd pozyskanych informacji w celu ustalenia, czy nadal są niezbędne. W przypadku stwierdzenia nieprzydatności mają być usuwane. Projekt reguluje więc czas przetwarzania w taki sposób, że nie ma żadnych terminów. Podane są jedynie kryteria funkcjonalne (“jakościowe”).

Dwie rzeczy bez definicji: 

1) Brak maksymalnego okresu przechowywania informacji, które służba uznaje za niezbędne. Teoretycznie może być to więc “nieskończoność” (np. 20, albo 100 lat). 

2) Brak okresu obowiązywania samego dostępu (czyli może być to na “czas nieokreślony”, odnowienia, ponownej oceny przesłanek stojących za działaniem - pewnego rodzaju monitoring może więc funkcjonować nieustannie, teoretycznie - wiecznie) 

Terminologia-widmo

W projektowanym art. 43b jest ciekawa różnica terminologiczna co do kryteriów. Art 43b(1)  pozwala na przetwarzanie przez okres gdy informacje są “niezbędne”. Art 43b(2) nakazuje usuwać informacje “nieprzydatne”. Art. 43b(3) nakazuje ustalać podczas przeglądów, czy informacje “są niezbędne” - ich usunięcie wiąże ze stwierdzeniem "nieprzydatności”. Trzeba zauważyć, że “przydatność jest pojęciem szerszym od “niezbędności”. Informacja może w jakimś stopniu pomagać w czymś, choć jej dalsze przechowywanie nie jest już do tego potrzebne. Dlaczego nie zastosować jednego kryterium: niezbędności?

Projekt tej ustawy tworzy ramy “giętkie” i znacznie mniej szczegółowe od rozwiniętych systemów przechwytywania strategicznego znanego z państw zachodnich. Zaletą tej zmiany jest jednak niewątpliwie fakt, że projekt tej ustawy jest krótki (ma trzy strony). Może warto jednak rozwinąć do stron np. czterech?  

Najważniejszym pytaniem jest to o wolumen. Ile danych można przechwytywać? W projektowanych zmianach w ustawie o niemieckiej BND mowa o wolumenie do 30% ruchu sieci telekomunikacyjnych, jeśli chodzi o dane to można je przechowywać do 6 miesięcy, a metadane - do 12 miesięcy.

Brak ograniczeń

Projekt zmian dla polskich służb nie ustanawia żadnej granicy ilościowej lub jakościowej (poza tym, że to ruch “międzynarodowy”), nie określa kryteriów wyboru sieci, tras, punktów styku lub innych części infrastruktury, nie nakazuje operatorowi wykonania preselekcji przed udostępnieniem danych. Nie wiadomo też, czy mające być w użyciu selektory miałby być stosowane przed technicznym udostępnieniem ruchu, czy później. Tekst ustawy nie wyklucza niczego. Teoretycznie nie wyklucza też nawet udostępnienia całego międzynarodowego strumienia sieciowego

Projektowany art. 43a używa sformułowań “dostęp do międzynarodowego ruchu telekomunikacyjnego” oraz “informacje z międzynarodowego ruchu telekomunikacyjnego”. Ale jaki jest zakres tego dostępu? Czy obejmuje treść komunikacji, dane o transmisji i inne metadane? Projekt tego nie rozstrzyga. Wygląda to tak, jakby obejmowało wszystko, bez rozróżnienia.

Projekt posługuje się terminem “selektor”. To pojęcie techniczne i nie jest w tej ustawie zdefiniowane. Chodzi tu o imię i nazwisko? Element treści, numer telefonu, adres poczty elektronicznej, adres IP, identyfikator urządzenia, domena, organizacja, czy inne kryterium? Wygląda na to, że wg. ustawy mogłoby to być cokolwiek. Nie ma też żadnej szczególnej procedury dla selektora identyfikującego konkretną osobę. 

To istotne, bo co do takich projektów są obowiązujące wyroki sądów. Europejski Trybunał Praw Człowieka. Nakazuje on zwiększanie zakresu nadzoru i kontroli nad takimi ingerencjami w miarę jak przetwarzane są informacje coraz bardziej wrażliwe lub prywatne. Przykładowo, nakłada on ograniczenia na inwigilację quasi-masową, a zgoda na takie ingerencje powinna zostać nadawana w wyniku jakiejś zdefiniowanej procedury. Wg Trybunały potrzebny jest nadzór i zatwierdzanie przechwytywania. Zatwierdzanie przez organ niezależny od władzy wykonawczej. Organ udzielający autoryzacji powinien znać cel przechwytywania i kanały transmisji. Mowa tam też o selektorach - Trybunał przyjmuje, że uwzględnienie wszystkich indywidualnych selektorów w momencie decyzji o autoryzacji może być niewykonalne, lecz wymaga wskazania chociaż ich typów lub kategorii i gwarancji przy selektorach odnoszących się do osoby.

Nadzorem w Polsce zajmowałby się organ właściwy do kontroli działalności Agencji Wywiadu i Służby Wywiadu Wojskowego (koordynator służb specjalnych lub Prezes Rady Ministrów). Służby składałyby raport premierowi. Odrębnego organu kontrolnego do nadzoru tej wrażliwej tkanki społeczno-technicznej się nie tworzy. Projekt nie przewiduje też konieczności odnowienia dostępu do ruchu po jakimś czasie (zezwolenia udzielone są przecież bezterminowo.)… W projekcie nie widać kluczowych elementów standardu wskazanego przez ETPC. Przede wszystkim brak uprzedniej autoryzacji operacji przez organ niezależny od władzy wykonawczej oraz niezależnego nadzoru nad procesem.

W Niemczech trwa reforma służb obejmująca BND (wywiad) i jego istniejący system strategicznego rozpoznania telekomunikacyjnego. Reforma ma zwiększać możliwości operacyjne służb, a jednocześnie przebudowywać i wzmacniać zasady kontroli