Retencja danych telekomunikacyjnych – także w komunikatorach i poczcie elektronicznej

Projekt PKE został na posiedzeniu Sejmu w piątek 13 stycznia skierowany do dalszych prac w sejmowej Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii. PKE ma wdrożyć do krajowego porządku prawnego dyrektywę Parlamentu Europejskiego i Rady (UE) 2018/1972 ustanawiającą Europejski kodeks łączności i zastąpić obowiązujące dotychczas Prawo telekomunikacyjne.

Co to jest retencja danych telekomunikacyjnych?

Retencja danych telekomunikacyjnych polega na tym, że przedsiębiorca komunikacji elektronicznej jest obowiązany na własny koszt do zatrzymywania i przechowywania danych generowanych w publicznej sieci telekomunikacyjnej lub przez niego przetwarzanych, a także ich udostępniania uprawnionym organom państwa.

Kto będzie zobowiązany do retencji danych?

Obowiązek retencji danych telekomunikacyjnych dotyczy obecnie, na gruncie przepisów Prawa telekomunikacyjnego operatorów publicznej sieci telekomunikacyjnej oraz dostawców publicznie dostępnych usług telekomunikacyjnych. Projekt PKE określa te dwie kategorie podmiotów łącznie jako przedsiębiorców telekomunikacyjnych.

W myśl projektu obowiązek retencji danych ma dotyczyć także nowej, nieznanej Prawu telekomunikacyjnemu kategorii przedsiębiorców, a mianowicie podmiotów świadczących publicznie dostępną usługę komunikacji interpersonalnej niewykorzystującą numerów.

W rozumieniu proponowanego PKE zarówno przedsiębiorcy telekomunikacyjni jak i podmioty świadczące usługi komunikacji interpersonalnej niewykorzystujące numerów będą określani łącznie jako przedsiębiorcy komunikacji elektronicznej.

Usługa komunikacji interpersonalnej niewykorzystująca numerów – co to takiego?

Usługa komunikacji interpersonalnej to zgodnie z projektem – który w tym zakresie powiela definicje Europejskiego kodeksu łączności – usługa umożliwiającą bezpośrednią interpersonalną i interaktywną wymianę informacji za pośrednictwem sieci telekomunikacyjnej między skończoną liczbą osób, gdzie osoby inicjujące połączenie lub uczestniczące w nim decydują o jego odbiorcy lub odbiorcach.

Usługą komunikacji interpersonalnej niewykorzystującą numerów jest taka usługa komunikacji interpersonalnej, która nie umożliwia realizacji połączeń z numerami z planu numeracji krajowej lub międzynarodowych planów numeracji.

Oznacza to, że usługami komunikacji interpersonalnej niewykorzystującej numerów są komunikatory internetowe oraz poczta elektroniczna. W efekcie dane zebrane przez dostawców tego rodzaju usług także podlegać mają obowiązkowi retencyjnemu.

Za usługę komunikacji interpersonalnej nie będą natomiast uważane usługi, w których interpersonalna i interaktywna komunikacja stanowi wyłącznie funkcję podrzędną względem innej usługi podstawowej, czyli np. czaty będące częścią serwisów społecznościowych, stron rozrywkowych lub gier komputerowych. Dane wygenerowane w trakcie połączeń z nimi nie będą wobec tego podlegać obowiązkowej retencji.

Komu mają być przekazywane dane?

Przedsiębiorcy komunikacji elektronicznej będą zobowiązani do przekazywania gromadzonych danych uprawnionym podmiotom, to jest: Policji, Biuru Nadzoru Wewnętrznego, Straży Granicznej, Służbie Ochrony Państwa, Agencji Bezpieczeństwa Wewnętrznego, Służbie Kontrwywiadu Wojskowego, Żandarmerii Wojskowej, Centralnemu Biuru Antykorupcyjnemu i Krajowej Administracji Skarbowej, a także sądom i prokuraturze.

Zasady i tryb przekazywania danych tym podmiotom określają odrębne od PKE przepisy normujące działalność tych podmiotów.

Jak długo dane mają być przechowywane?

Podmioty objęte obowiązkami retencyjnymi będą obowiązane zatrzymywać i przechowywać dane - tak jak obecnie, pod rządami Prawa telekomunikacyjnego - przez okres 12 miesięcy, licząc od dnia połączenia lub nieudanej próby połączenia. Dane te będą musiały być przechowywane na terytorium Polski.

Z dniem upływu dwunastomiesięcznego okresu podmioty te będą zobowiązane zniszczyć dane, z wyjątkiem tych, które zostały zabezpieczone, zgodnie z przepisami odrębnymi.

Jakie dane podlegają retencji?

Obowiązkiem retencji mają być w myśl projektu PKE objęte dane, których retencję przewiduje także obecne Prawo telekomunikacyjne, dotyczące publicznie dostępnych usług komunikacji elektronicznej niezbędne do :

• ustalenia zakończenia sieci, telekomunikacyjnego urządzenia końcowego oraz użytkownika końcowego inicjującego połączenie lub do którego kierowane jest połączenie;
• określenia:
  • daty i godziny połączenia oraz czasu jego trwania,
  • rodzaju połączenia,
  • lokalizacji telekomunikacyjnego urządzenia końcowego.

Projekt PKE rozszerza jednak zakres danych podlegających obowiązkowi retencji o dane jednoznacznie identyfikujące użytkownika w sieci.

Co to są dane jednoznacznie identyfikujących użytkownika w sieci?

Dane jednoznacznie identyfikujące użytkownika w sieci to pojęcie, którego projekt PKE nie definiuje.

Wskazówkę, o jakie dane może chodzić stanowi uwaga Ministerstwa Obrony Narodowej do projektu ustawy o zwalczaniu nadużyć w komunikacji elektronicznej zgłoszona w czerwcu 2022 r. podczas prac legislacyjnych rządu. MON zaproponowało wtedy, żeby zobowiązać dostawców poczty elektronicznej do przechowywania rejestrów logowań do skrzynek poczty elektronicznej zawierających informacje o dacie i godzinie połączenia, adresie IP oraz porcie przypisanym użytkownikowi w trakcie połączenia przez przedsiębiorcę telekomunikacyjnego.

MON motywowało tę propozycję tym, że większość przedsiębiorców telekomunikacyjnych używa obecnie technologii CGNAT i NAT, które umożliwiają przypisanie jednego adresu publicznego (IP) dużej liczbie abonentów w tym samym czasie, co utrudnia, a często wręcz uniemożliwia ustalenie urządzenia końcowego, które korzystało z danego adresu IP. Takie ustalenie byłoby natomiast możliwe właśnie poprzez wskazanie portu przypisanego użytkowników w trakcie połączenia.

Uwaga MON została nieuwzględniona w pracach legislacyjnych nad projektem ustawy o zwalczaniu nadużyć w komunikacji elektronicznej, a prace te nie zostały jeszcze zakończone.

Szczegółowy wykaz danych podlegających obowiązkowi retencji ma określić w drodze rozporządzenia minister właściwy ds. informatyzacji (minister cyfryzacji - jest nim obecnie premier) w porozumieniu z ministrem spraw wewnętrznych oraz po zasięgnięciu opinii ministra – koordynatora służb specjalnych. Jakie dane zostaną uznane za dane jednoznacznie identyfikujące użytkownika w sieci określi więc to rozporządzenie.