Krajowa Izba Gospodarcza Elektroniki i Telekomunikacji

Transkrypt

1 Warszawa, dn r. KIGEiT/677/07/2006 Pan Eugeniusz Wróbel Podsekretarz Stanu Ministerstwo Transportu ul. Chałubińskiego 4/ Warszawa W nawiązaniu do pisma z dnia 12 lipca 2006r., znak: MO5MJ-020-1/06, przy którym przesłano wstępny projekt nowelizacji art. 165 Prawo telekomunikacyjne, Krajowa Izba Gospodarcza Elektroniki i Telekomunikacji (zwana dalej KIGEiT lub Izbą ) przedstawia poniższe stanowisko: 1. Transpozycja dyrektywy 2006/24/WE powinna być dokonana najpóźniej do dnia 15 września 2007r. (Art. 15 ust. 1). W chwili obecnej istnieją poważne wątpliwości, czy dyrektywa nie zostanie zakwestionowana przez ETS skargi w tej sprawie zostały już złożone przez Irlandię oraz Słowację. Wobec istotnych wątpliwości co do istnienia podstawy traktatowej do dopuszczalności uregulowania dyrektywa kwestii retencji danych oraz co do zgodności z Europejską Konwencją Praw Człowieka, potwierdzonych w licznych ekspertyzach, w szczególności w Opinii Europejskiego Komitetu Ekonomiczno-Społecznego (2006/C 69/04), skargi mają znaczne szanse na uwzględnienie. W tych okolicznościach wskazane jest rozważenie, czy uzasadniona jest tak szybka implementacja tej dyrektywy do polskiego prawa. 2. Izba podtrzymuje zgłaszane już w poprzednich stanowiskach dotyczących dyrektywy 2006/24/WE stanowisko wyrażające wątpliwości co do jej zgodności z Konstytucją RP, Traktatem WE oraz Europejską Konwencją Praw Człowieka. 3. Izba podtrzymuje zgłaszane już wielokrotnie stanowisko co do konieczności ustanowienia odpowiedniego mechanizmu finansowania przez państwo realizacji obowiązku zatrzymywania danych, np. w postaci ulgi podatkowej lub częściowej partycypacji Skarbu Państwa w kosztach stworzenia i utrzymania systemu technicznego do retencji danych, a także zespołu osób do jego obsługi oraz kosztów bieżącego odpowiadania na żądania ze strony uprawnionych podmiotów. W pierwotnej wersji projektu dyrektywy Komisja uznała, że do tego, by obowiązek retencji danych był proporcjonalny i nadmiernie negatywnie nie wpłynął na wspólny rynek, konieczne jest nałożenie na państwa członkowskie obowiązku ustanowienia mechanizmu ul. Stępińska 22/30, Warszawa, tel.: , , fax: , kigeit@kigeit.org.pl NIP Konto: BPH S.A. Oddział Warszawa nr

2 rekompensującego poniesione koszty. Wprawdzie w ostatecznej wersji dyrektywy zrezygnowano z tego zapisu, ale z tym zastrzeżeniem, że każde Państwo Członkowskie samodzielnie zdecyduje o wprowadzeniu odpowiedniego mechanizmu rekompensującego ponoszone koszty. Dla przykładu można wskazać, że z szacunkowych wyliczeń spółki Netia SA wynika, iż łączne koszty rozbudowy istniejących systemów technicznych (oprócz tego są zwiększone koszty osobowe) dla usług telefonicznych i usług internetowych to 3,6 mln PLN. Na koszty te składają się: a) koszty zakupu funkcjonalności rejestracji wszystkich prób połączeń w sieci PSTN: ok. 500kUSD; b) koszty dostarczenia koniecznych danych z sieci VoIP/NGN/IP: ok. 1m PLN. c) koszty IT związane ze zwiększeniem czasu przechowywania danych i zwiększenia ich zakresu: ok. 0,5m-1m PLN. Zastrzec przy tym trzeba, że jest to bardzo wstępna analiza i rzeczywiste koszty mogą być nawet kilka razy wyższe. 4. W ocenie Izby przygotowany projekt implementacji dyrektywy 2006/24/WE jest niezgodny z Konstytucją RP również z tego powodu, że nie został spełniony wymóg określoności ingerencji w prawa i wolności obywatelskie nie zapisano bowiem na jakie cele dane są zatrzymywane, nawet w tak szeroki sposób, jak zostało to określone w obecnie obowiązującym art. 165 ust. 1 P.t. Zgodnie z Art. 1 ust. 1 dyrektywy zatrzymanie danych następuje dla celu dochodzenia, wykrywania i ścigania poważnych przestępstw, określonym w ustawodawstwie każdego państwa członkowskiego. Ten cel powinien być wpisany w art. 80a ust. 1, ewentualnie cel szerszy z obecnego art. 165 ust. 1 P.t., ale brak jakiegokolwiek celu prowadzi do niekonstytucyjności zaproponowanej regulacji (wyrok TK z 30 października 2001 r., K 33/00, OTK ZU nr 7/2001; wyrok z 22 maja 2002 r., K. 6/02, OTK ZU nr 3/A/2002, poz. 33; wyrok z 20 kwietnia 2004 r., K 45/02, OTK-A 2004/4/30; wyrok TK z 20 czerwca 2005 r., K 4/04 OTK-A 2005/6/64). Izba proponuje w art. 80a ust.1 kropkę zastąpić przecinkiem i dodać: dla celów obronności, bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego, w tym dochodzenia, wykrywania i ścigania poważnych przestępstw określonych w przepisach odrębnych. 5. W założeniach do projektu zapisano: proponowane rozwiązania odnoszą się jedynie do zapisów Dyrektywy, w których jest mowa o usłudze telefonicznej i nie uwzględniają dostępu do Internetu oraz zagadnień związanych z telefonią internetową, jak również transmisją GPRS i WAP w telefonii komórkowej. Założenie to jest zgodne z deklaracją Rządu RP złożoną w trybie Art. 15 ust. 3 dyrektywy, zgodnie z którą stosowanie dyrektywy będzie odroczone dla usług dostępu do Internetu, telefonii internetowej i poczty elektronicznej do dnia 15 marca 2009r. Odroczenie to, z którego skorzystało 16 Państw Członkowskich UE, jest kluczowe dla prawidłowego rozwoju rynku tych usług w Polsce. Tymczasem założenie to nie ma żadnego odzwierciedlenia w treści przygotowanego projektu. Ponadto, powinno być w jednoznaczny sposób określone jakiego rodzaju usług dotyczy obowiązek zatrzymania danych. Izba proponuje: a) w art. 80a ust. 1 dodać zdanie: Obowiązek zatrzymania danych dotyczy publicznie dostępnej usługi: telefonicznej, dostępu do Internetu, telefonii internetowej oraz elektronicznej poczty internetowej1. 1 Poczta elektroniczna nie jest jeszcze usługą telekomunikacyjną, ale równolegle procesowana nowelizacja P.t. dowodzi, że wkrótce stan ten ulegnie zmianie. 2

3 b) dodać przepis przejściowy o treści: W stosunku do publicznie dostępnej usługi dostępu do Internetu, telefonii internetowej oraz elektronicznej poczty internetowej art. 80a stosuje się od dnia 15 marca 2009r. 6. Obowiązek zatrzymania danych jest zdecydowanie trudniejszy do technicznego wykonania i kosztowniejszy (w szczególności ze względu na konieczność zaimplementowania nowych rozwiązań technicznych oraz skalę generowanych danych) dla usług związanych z Internetem, niż z telefonią. Z drugiej strony, doświadczenie pokazuje, że przez organy państwa wykorzystywane są przede wszystkim dane związane z usługami telefonicznymi. Zgodnie z Art.6 dyrektywy, okres przechowywania danych powinien wynosić nie mniej niż 6 i nie więcej niż 24 miesiące każde Państwo Członkowskie samodzielnie decyduje, jaki okres przechowywania ustanowi dla poszczególnych kategorii danych, czy usług. Stan rozwoju polskiego rynku usług internetowych oraz skala dodatkowego obciążenia, jakim będzie wykonanie obowiązku zatrzymania danych uzasadnia, by dla usług związanych z Internetem okres zatrzymania danych był krótszy niż dla danych związanych z usługami telefonicznymi. Izba proponuje skreślić w art. 80a ust. 1 fragment zdania:, przez okres 24 miesięcy, oraz dodać zdanie o treści: Zatrzymane dane będą przechowywane przez okres 24 miesięcy, z wyjątkiem danych dotyczących publicznie dostępnej usługi dostępu do Internetu, telefonii internetowej oraz elektronicznej poczty internetowej, które będą przechowywanie przez okres 6 miesięcy. 7. W założeniach do projektu zapisano: zakłada się, że operator publicznej sieci telekomunikacyjnej zobowiązany będzie do rejestrowania i zatrzymania danych, które są dla niego dostępne. Założenie to wynika z dyrektywy: Zatrzymywanie danych powinno odbywać się w ten sposób, by uniknąć powtórnego zatrzymywania danych. Dane generowane lub przetwarzane w ramach świadczenia usług w zakresie łączności odnoszą się do danych, które są dostępne. W szczególności przy zatrzymywaniu danych związanych z internetową pocztą elektroniczną i telefonią internetową cel może zostać ograniczony do własnych usług dostawców lub dostawców sieci. (pkt 13 preambuły). Założenie to nie ma jednak odzwierciedlenia w treści przygotowanego projektu. Izba proponuje w art. 80a ust. 1 dodać zdania o treści: Zatrzymywanie danych powinno odbywać się w ten sposób, by uniknąć powtórnego zatrzymywania danych. Dane generowane lub przetwarzane w ramach świadczenia usług w zakresie łączności odnoszą się do danych, które są dostępne. 8. Projekt nie dokonuje transpozycji Art. 5 ust. 2 dyrektywy. Nie wystarczy bowiem odróżnić treści komunikatu od danych o połączeniach lub nieudanych próbach połączeń, gdyż niektóre z tych danych ujawniają też treść komunikatu, zwłaszcza w przypadku usług internetowych. Z tego powodu w dyrektywie zapisano, że nie można zatrzymywać danych, które ujawniają treść komunikatu. Izba proponuje dodać w art. 80a ust. 1 zdanie o treści: Obowiązek zatrzymania danych nie dotyczy danych, które ujawniają treść komunikatu. 9. Art. 80a ust. 2 projektu stanowi, że obowiązek zatrzymywania danych dotyczy również nieudanych prób połączeń. Po pierwsze, brak jest definicji tego pojęcia i różni się ono od określenia użytego w art. 159 ust. 1 pkt 5 P.t. ( dane o próbach uzyskania 3

4 połączenia ). W tym celu powinna być wykorzystana definicja z Art. 2 dyrektywy (tj. połączenia nawiązane, ale nie odebrane /connected calls but not answered/ lub połączenia, co do których nastąpiła interwencja sieci), z doprecyzowaniem z Art. 3 ust. 2 dyrektywy (tj. obowiązek nie dotyczy danych o połączeniach nienawiązanych /unconnected calls/). Po drugie, nieudane próby połączeń nie są ratyfikowane i objęte bilingiem. W związku z tym pozyskanie tych danych nie odbywa się równocześnie z pozyskaniem danych o połączeniach zrealizowanych, do czego przystosowane są taryfikacyjne. Nałożenie obowiązku zatrzymywania tych dodatkowych wymagałoby stworzenia odrębnych baz danych i dodatkowego systemu technicznego do pozyskiwania tych danych, ich przechowywania i zarządzania ich bezpieczeństwem oraz dostępem. Wymienione czynności wymagają znacznych nakładów, nieproporcjonalnych do zakładanego rezultatu. Co więcej, w tej kwestii proponowana treść art. 80a ust. 2 w sposób niedokładny implementuje Art. 3 ust. 2 dyrektywy ze szkodą dla polskich przedsiębiorców telekomunikacyjnych. W stosunku do danych o udanych połączeniach obowiązek zatrzymania dotyczy danych generowanych lub przetwarzanych przez przedsiębiorców / where those data are generated or processed by providers Art. 3 ust. 1 dyrektywy/. Natomiast w stosunku do nieudanych prób połączeń obowiązek dotyczy danych generowanych lub przetwarzanych i przechowywanych lub zapisanych w momencie logowania / where those data are generated or processed, and stored (as regard telephony data) or logged (as regards Internet data), by providers Art. 3 ust. 2 dyrektywy). Po trzecie, wskazane jest, by w odniesieniu do nieudanych prób połączeń okres vacatio legis były maksymalnie długi (t, r.), by przedsiębiorcy mogli przygotować się do nowej sytuacji i nowych wydatków. Izba proponuje: a) do art.2 dodać pkt. 20a o treści: nieudana próba połączenia nawiązanie łączności, w sytuacji w której połączenie telefoniczne zostało skutecznie zestawione, ale nie zostało odebrane lub nastąpiła interwencja sieci b) zmienić art. 80a ust. 2 w następujący sposób: Obowiązek, o którym mowa w ust. 1, dotyczy połączeń zrealizowanych, a także nieudanych prób połączeń, o ile dane są przechowywane (w przypadku danych telefonicznych) lub zapisane w momencie logowania (w przypadku danych internetowych) przez dostawców publicznie dostępnych usług telekomunikacyjnych. c) dodać przepis przejściowy (o ile cały art. 80a nie wejdzie w życie dopiero z dniem 15 września 2007r.) o treści: W stosunku do danych dotyczących nieudanych prób połączeń stosuje się od dnia 15 września 2007r. 10. W art. 80a ust. 3 projektu określono kategorie danych, które objęte są obowiązkiem zatrzymania. Szczegółowy wykaz danych ma regulować rozporządzenie wykonawcze (art. 80a ust. 10). Propozycja takiego wykazu zamieszczona została już w założeniach do projektu. Wskazać należy, że rodzaje danych określone w tym wykazie wykraczają poza rodzaje danych wyspecyfikowane w Art. 5 ust. 1 dyrektywy (w dyrektywie nie wymienia się następujących danych z proponowanego wykazu: imienia, miejsca zainstalowania urządzenia końcowego, czasu trwania połączenia, numeru MSISDN. Ponadto, postanowienia dyrektywy nie przewidują wskazanego w założeniach obowiązku uwzględniania stanu na dzień realizacji usługi i wszelkich zmian (nazwy użytkownika, adresu, korzystania z przenośności numerów, zmiany w strukturze sieci operatora), z którymi mogą wiązać się dodatkowe problemy techniczne z ich pozyskaniem z sieci telekomunikacyjnej i systemów teleinformatycznych. W ocenie Izby wykaz danych oraz ich skorelowanie, jak również format udostępnienia wymaga szerokich konsultacji z 4

5 przedsiębiorcami telekomunikacyjnymi w ramach przygotowania projektu planowanego rozporządzenia do nowego art. 80a P.t. 11. W art. 80a ust. 6 projektu określone zostały podstawowe zasady ochrony i bezpieczeństwa zatrzymanych danych. W ocenie Izby treść tego przepisu jest niejasna i wzbudza poważne wątpliwości interpretacyjne, poprzez odwołanie się do bliżej nieokreślonych przepisów odrębnych, co znów będzie wzbudzało kontrowersje co do zastosowania ustawy o ochronie informacji niejawnych (jednym z podstawowych założeń nowelizacji P.t. było rozwiązanie istniejących wątpliwości i jednoznaczne przesądzenie, że do zatrzymanych danych nie stosuje się tej ustawy). Regulacja dyrektywy w tym zakresie jest jednoznaczna (Art. 7) i powinna być w pełni zaimplementowana do polskiego P.t. Izba proponuje zmienić art. 80a ust. 6 w następujący sposób: Dane, o których mowa w ust. 1, podlegają ochronie zgodnie z zasadami ochrony tajemnicy telekomunikacyjnej i danych użytkowników końcowych2.. Prezes Zarządu Stefan Kamiński 2 Nie należy precyzować, że określonymi w ustawie, bowiem zasady te określone są również w ustawie o ochronie danych osobowych, o ile przewidują one dalej idącą ochronę niż P.t. (art. 5 uodo). 5