Słów kilka o (nie)zwalczaniu nadużyć w komunikacji elektronicznej

We wrześniu 2023 roku weszła w życie ustawa o zwalczaniu nadużyć w komunikacji elektronicznej, która określa prawa i obowiązki urzędów i przedsiębiorców telekomunikacyjnych dotyczące działań mających na celu ochronę użytkowników lub przedsiębiorców telekomunikacyjnych przed negatywnymi skutkami nadużyć w telekomunikacji (komunikacji elektronicznej). Czy stwarza ona skuteczne narzędzia do zwalczania nadużyć w telekomunikacji, a w szczególności komunikacji elektronicznej? Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (Dz. U. poz. 1703) określa prawa i obowiązki przedsiębiorców telekomunikacyjnych związane z zapobieganiem nadużyciom w komunikacji elektronicznej oraz ich zwalczaniem. Aby można właściwie realizować takie prawa i obowiązki należy, na podstawie przepisów tej ustawy, ustalić zakres działań przedsiębiorcy telekomunikacyjnego oraz sposób ich wykonywania. Rozpatrując te zagadnienia należy pamiętać, że niewłaściwie wykonywane prawa i obowiązki określone w ustawie może mieć dla przedsiębiorcy telekomunikacyjnego bardzo negatywne skutki, administracyjne, finansowe i karne. Definicja W pierwszej kolejności postanowiliśmy przeanalizować definicję nadużycia w komunikacji elektronicznej oraz zakres środków jakie przedsiębiorca telekomunikacyjny obowiązany jest podjąć w celu zapobiegania nadużyciom w komunikacji elektronicznej i ich zwalczania. Ustawa w art. 2 ust. 8 zawiera definicję pojęcia nadużycie w komunikacji elektronicznej, którym jest, w szczególności, generowanie sztucznego ruchu, smishing, CLI Spoofing i nieuprawniona zmiana informacji adresowej. W myśl tej definicji nadużycie w komunikacji elektronicznej jest to zdarzenie polegające na świadczeniu lub korzystaniu z usługi telekomunikacyjnej lub korzystaniu z urządzeń telekomunikacyjnych niezgodnie z ich przeznaczeniem lub przepisami prawa, ale wyłącznie takie, którego celem lub skutkiem jest wyrządzenie szkody przedsiębiorcy telekomunikacyjnemu lub użytkownikowi końcowemu albo osiągnięcie nienależnych korzyści dla podmiotu dopuszczającego się nadużycia w komunikacji elektronicznej, innej osoby. Każde inne zdarzenie polegające na świadczeniu lub korzystaniu z usługi telekomunikacyjnej lub korzystanie z urządzeń telekomunikacyjnych niezgodnie z ich przeznaczeniem lub przepisami prawa (w tym takie, którego celem lub skutkiem nie jest lub nie będzie wyrządzenie komuś szkody), nie jest nadużyciem w komunikacji elektronicznej. Taka definicja powoduje, że przedsiębiorca telekomunikacyjny ma bardzo poważne problemy z oceną zdarzenia i zakwalifikowania go jako nadużycie. O ile istnieje możliwość stwierdzenia np. podmiany (fałszowania) informacji adresowej, to już ocena celu lub skutku jest praktycznie niemożliwa. Cel lub skutek takiego działania można ocenić po zaistnieniu (wykonaniu) zdarzenia, natomiast działania mające na celu zwalczanie lub przeciwdziałanie nadużyciom należy podjąć przed lub w trakcie realizacji połączenia. Przesłanki karalności Przepisy karne zawarte w art. 31 i 32 omawianej ustawy potwierdzają, że aby zdarzenie uznać za nadużycie w komunikacji elektronicznej, muszą być spełnione łącznie dwie przesłanki: zajście pewnego zdarzenia (np. dokonanie podmiany informacji adresowej, w szczególności numeru telefonu); negatywny cel lub skutek tego działania. Już ta krótka i dość pobieżna analiza fragmentu przepisów wskazuje, że skuteczne działanie przedsiębiorcy telekomunikacyjnego mające na celu zapobieganie nadużyciom w komunikacji elektronicznej i ich zwalczanie jest nierealne i niemożliwe! Proporcjonalne czyli jakie? Kolejnym przepisem, który przeanalizowaliśmy jest w art. 3 ust. 3 ustawy. Przepis ten stanowi, że przedsiębiorca telekomunikacyjny jest obowiązany do podejmowania proporcjonalnych środków organizacyjnych i technicznych mających na celu zapobieganie nadużyciom w komunikacji elektronicznej i ich zwalczanie. Pojawia się pytanie: Jaki jest punkt (poziom) odniesienia proporcjonalności? Co należy uznać wartości (parametry) niezbędne do określenia proporcjonalności, o której mowa, skoro proporcja oznacza iloczyn (stosunek) co najmniej dwóch wartości? Ustawa nie określa też czy przedsiębiorca telekomunikacyjny powinien podejmować środki proporcjonalne do posiadanych możliwości technicznych, organizacyjnych lub finansowych czy proporcjonalne do zagrożeń powodowanych nadużyciom w komunikacji elektronicznej, czy do poziomu możliwości osiągnięcia celu? W rozwianiu tych wątpliwości nie pomaga uzasadnienie do projektu ustawy, w którym czytamy: Proponowany art. 3 ust. 2 nakłada na przedsiębiorcę telekomunikacyjnego ogólny obowiązek podejmowania proporcjonalnych działań mających na celu zapobieganie nadużyciom w komunikacji elektronicznej i ich zwalczanie. Istotne jest, że mają to być działania proporcjonalne do wyników przeprowadzonej oceny ryzyka, gdyż wśród przedsiębiorców telekomunikacyjnych znajdują się zarówno duzi przedsiębiorcy dostarczający sieci mobilne, jak i mali i średni przedsiębiorcy. Działania podejmowane przez te podmioty będą więc zależne od wielkości podmiotu, posiadanej infrastruktury czy charakteru świadczonych usług. Przykładowo jako jeden ze środków można wskazać monitorowanie usług telekomunikacyjnych w celu wykrywania przypadków CLI spoofingu. W przypadku sztucznego ruchu przedsiębiorcy telekomunikacyjni będą mogli korzystać np. z systemów klasy Fraud Management System lub Anti Fraud System (FMS/AFS). Przy określaniu proporcjonalnych środków można posiłkować się uznanymi międzynarodowymi standardami w zakresie zarządzania ryzykiem, np. COSO II czy ISO 31000. Nadużycia w komunikacji elektronicznej mają zgoła różny i często skomplikowany charakter, a co za tym idzie, przeciwdziałanie i zwalczanie ich wymaga podejmowania różnych (odmiennych) środków organizacyjnych i technicznych. W związku z tym konieczne jest również wprowadzenie ogólnego obowiązku przedsiębiorców telekomunikacyjnych do przeciwdziałania nadużyciom telekomunikacyjnym. Będzie to dawało podstawę prawną do reagowania na nowe rodzaje nadużyć. Ze względu na ogólny charakter tego obowiązku nie wiąże się on z jakąkolwiek sankcją. Równocześnie stanowi to jasny sygnał, że działania przestępcze wykorzystujące sieci telekomunikacyjne nie będą tolerowane. Czy oznacza to, że przedsiębiorca telekomunikacyjny ma pełną dowolność w ocenie możliwości podejmowania środków organizacyjnych i technicznych? Kto, w razie sporu lub kontroli, będzie oceniał, czy przedsiębiorca telekomunikacyjny podjął właściwe środki organizacyjne i techniczne? Organ kontrolujący również ma bardzo dużą dowolność interpretacji tych przepisów. Pytań jest tu zdecydowanie więcej niż odpowiedzi. Problemy z przepisami Przepis w takiej formie nie spełnia normy prawnej i jest on wyłącznie miękkim zaleceniem, sugestią, postulatem. Zgodnie z zasadami techniki prawodawczej w ustawie nie zamieszcza się wypowiedzi, które nie służą wyrażaniu norm prawnych, a w szczególności apeli, postulatów, zaleceń, upomnień oraz uzasadnień formułowanych norm. Ponadto przepisy należy redagować tak, aby dokładnie i w sposób zrozumiały dla adresatów zawartych w nich norm wyrażały intencje prawodawcy. Tych zasad powinni szczególnie przestrzegać legislatorzy projektujący przepisy określające sprawy bezpieczeństwa, a przepisy przez nich projektowane były precyzyjne i jednoznaczne, wręcz możliwe do jednoznacznej oceny (zmierzenia, zważenia, wyliczenia). Z przykrością musimy stwierdzić, że analizowana Ustawa jest bardzo odległa od ideału! Kolejnym przykładem przepisu, który nie spełnia oczekiwań stawianych przed ustawą o zwalczaniu nadużyć w komunikacji elektronicznej jest art. 20, którego celem jest stworzenie narzędzi niezbędnych do ochrony użytkowników internetu przed szkodliwymi (niebezpiecznymi) stronami internetowymi. Na podstawie art. 20 ust. 1 ustawy między Prezesem UKE, ministrem właściwym do spraw informatyzacji, Naukową i Akademicką Siecią Komputerową – Państwowym Instytutem Badawczym oraz przedsiębiorcą telekomunikacyjnym lub przedsiębiorcami telekomunikacyjnymi może zostać zawarte porozumienie dotyczące prowadzenia listy ostrzeżeń oraz uniemożliwienia dostępu do stron, za pomocą których są wyłudzane dane, w tym dane osobowe, oraz stron internetowych, za pomocą których doprowadza się użytkowników Internetu do niekorzystnego rozporządzenia ich mieniem, Termin porozumienie należy rozumieć jako zgodną wolą stron dotyczącą wywołania bądź unicestwienia skutków czynności prawnej. Oznacza to, że przystąpienie do niego oraz uzgodnienie treści jest wolną wolą wszystkich stron, w tym przedsiębiorcy telekomunikacyjnego. Przedsiębiorca telekomunikacyjny będący stroną takiego porozumienia może (ale nie musi) uniemożliwić użytkownikom Internetu dostęp do stron internetowych wykorzystujących nazwy domen internetowych wpisanych na listę ostrzeżeń, przez ich usunięcie z systemów teleinformatycznych przedsiębiorców telekomunikacyjnych służących do zamiany nazw domen internetowych na adresy IP. W tym miejscu pojawiają się następująca wątpliwość: Czy definicja szkodliwej strony internetowej, będącej przedmiotem porozumienia oraz definicja strony internetowej podlegającej blokowaniu przez przedsiębiorcę telekomunikacyjnego (art. 20 ust. 8), ma ten sam zakres?, W zasadzie też tylko przedsiębiorca telekomunikacyjny będący stroną takiego porozumienia MOŻE ale nie MUSI blokować dostęp do szkodliwych stron internetowych. Co wiecej, przedsiębiorca telekomunikacyjny, który nie jest stroną porozumienia zawartego w trybie art. 20 ust. 1 ustawy, nie posiada prawa blokowania stron internetowych, będących przedmiotem porozumienia, a także domeny internetowej wskazanej w art. 20 ust. 8 ustawy. Oznacza to, że przedsiębiorca nie będący stroną porozumienia, a który blokuje dostęp do szkodliwych stron internetowych narusza przepisy prawa powszechnego i może z tego tytułu ponieść konsekwencje prawne. Z przepisów można też wyciągnąć wnioski, że strony internetowe, o których mowa w art. 20 ust. 1 i domeny, o których mowa w art. 20 ust. 8 Ustawy, to dwa różne pojęcia. Treść art. 20 w praktyce może być martwym przepisem. Jeśli niewielu przedsiębiorców telekomunikacyjnych zechce przystąpić do zawarcia porozumienia, skutkiem tego może być to, że niewielu też będzie uprawnionych do blokowania szkodliwych domen internetowych. Wnioski Z tej krótkiej analizy skuteczności narzędzi, jakie stwarza ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej, wypływają niestety mało optymistyczne wnioski. Ustawa, która powinna dawać narzędzia do skutecznego zwalczania nadużyć w telekomunikacji, w istocie jest aktem prawnym martwym lub prawie martwym. W związku z powyższym apelujemy do Ministra Cyfryzacji, aby tą ustawę poddać nowelizacji, a najlepiej uchylić ją w całości a przedmiot w niej regulowany uwzględnić w projektowanym Prawie Komunikacji Elektronicznej. Nadużycia w telekomunikacji były, są i będą, a obowiązkiem administracji rządowej jest podjęcie działań skutecznie zwalczających te nadużycia.

TECHNOLOGIA · CYBERBEZPIECZEŃSTWO · BIZNES

Słów kilka o (nie)zwalczaniu nadużyć w komunikacji elektronicznej

Czytaj więcej

Najnowsze

Tego w Google Play nie wyłączysz

Nowe oznaczenia w Google Maps

Pizza dostarczana dronem? Teraz to możliwe

Gmail przygotowuje nowe rozwiązanie. Czy trafi do wszystkich użytkowników?

Nowa funkcja Google Play daje ci 24 godziny na decyzję

O nas

TECHNOLOGIA · CYBERBEZPIECZEŃSTWO · BIZNES

Słów kilka o (nie)zwalczaniu nadużyć w komunikacji elektronicznej

Czytaj więcej

ARTYKUŁY POWIĄZANE

Najnowsze

O nas