Wszystko, co powinniście wiedzieć o Pegasusie

Za sprawą przekazów medialnych usłyszeliśmy o funkcjonowaniu systemu pod nazwą Pegasus, za pomocą którego inwigilowano różne osoby, w bardzo różnych okolicznościach. Kilkakrotnie spotkałem się z pytaniem: czy przedsiębiorcy telekomunikacyjni mogą mieć coś z tym wspólnego? Odpowiedź na tak zadane pytanie może być tylko jedna: Nie. Warto jednak poświęcić chwilę tym zagadnieniom. Przedsiębiorcy telekomunikacyjni zobowiązani są do umożliwienia (czytaj: zapewnienia warunków) wykonywania przez upoważnione podmioty państwowe kontroli informacji przesyłanej w sieci telekomunikacyjnej. Funkcjonowanie i wykorzystanie systemu Pegasus znamy tylko z powszechnie dostępnych przekazów medialnych. Jak wynika z tych przekazów system ten wykorzystywany jest przez służby specjalne (w ustawie prawo telekomunikacyjne określone jako uprawnione podmioty) i służy nie tylko do pozyskiwania informacji wysyłanych i odbieranych przez urządzenie końcowe, ale również umożliwia ingerencję w funkcjonalności urządzenia końcowego. Jak pisał Spiderweb o Pegasusie: to produkt stworzony przez izraelską firmę NSO Group. Sprzedaje ona oprogramowanie służące służbom specjalnym do inwigilowania wybranych jednostek. Dzięki niemu mogą czytać wiadomości, hasła, śledzić połączenia, oglądać zdjęcia, gromadzić historię wyszukiwania, informacje z zainstalowanych na urządzeniu aplikacji oraz oczywiście określać lokalizację telefonu. Umożliwia też włączenie zdalnie nagrywania za pomocą kamery i mikrofonu. Jednym słowem NSO sprzedaje bogate w składniki i pełnowartościowe menu narzędzi do szpiegowania. Przedsiębiorcy telekomunikacyjni mają ustawowe obowiązki zapewnienia warunków wykonywania przez sąd, prokuratora i służby specjalne kontroli informacji przesyłanej w sieci telekomunikacyjnej, ale wyłącznie w ściśle określonych warunkach oraz po spełnieniu ustawowo określonych wymogów formalnych. Zadania i obowiązki przedsiębiorcy telekomunikacyjnego związane z kontrolą informacji przesyłanej w sieci telekomunikacyjnej Zgodnie z aktualnie obowiązującymi przepisami, przedsiębiorca telekomunikacyjny obowiązany jest do realizacji wielu zadań związanych z zapewnieniem bezpieczeństwa własnych sieci, usług lub przetwarzanych danych, ochrony informacji stanowiącej tajemnicę telekomunikacyjną, świadczeń na rzecz organów administracji publicznej itp. Zadania, które budzą najwięcej emocji wśród przedsiębiorców telekomunikacyjnych i od wielu lat są przedmiotem rozważań, to obowiązki wykonywane na rzecz sądu, prokuratury oraz uprawnionych podmiotów, a polegające na udostępnianiu lub umożliwieniu dostępu do informacji stanowiącej tajemnicę telekomunikacyjną. O ile udostępnianie danych telekomunikacyjnych na ogół nie stanowi większych problemów, to już realizacja obowiązków związanych z umożliwieniem sądowi, prokuratorowi lub uprawnionym podmiotom kontroli informacji przekazywanej w sieci telekomunikacyjnej zawsze budziło i budzi wiele kontrowersji. Zapewnienie możliwości kontroli (dostępu do) informacji przesyłanej w sieci telekomunikacyjnej oraz danych związanych z kontrolowaną informacją, polega na tym, że przedsiębiorca telekomunikacyjny jest obowiązany do zapewnienia warunków umożliwiających uzyskiwanie przez sąd, prokuratora lub inne uprawnione podmioty dostępu do treści przekazów telekomunikacyjnych i do danych związanych z tymi przekazami oraz możliwości ich utrwalania. Powyższe obowiązki określone są w ustawie prawo telekomunikacyjne, w kodeksie postępowania karnego oraz w ustawach kompetencyjnych. W jakim celu prowadzona jest kontrola informacji przesyłanej w sieci telekomunikacyjnej? Kontrola informacji przesyłanej w sieci telekomunikacyjnej to ingerencja w prywatność osób, których ta informacja dotyczy. Dlatego zarówno Konstytucja RP, jak i przepisy rangi ustawowej przewidują, że kontrola takiej informacji ma charakter szczególny i stosowana może być w wyjątkowych sytuacjach i po spełnieniu szczególnych wymogów formalnych. Zarówno Kodeks Postępowania Karnego, jak i ustawy kompetencyjne przewidują, że kontrola informacji przesyłanej w sieci telekomunikacyjnej jest dopuszczalna tylko wtedy, gdy dotyczy to zapobiegania, wykrywania lub obaw popełnienia najcięższych przestępstw, takich jak: zabójstwo; narażenie na niebezpieczeństwo powszechne lub sprowadzenie katastrofy; handel ludźmi; uprowadzenie osoby; wymuszanie okupu; uprowadzenie statku powietrznego lub wodnego; zamach na niepodległość lub integralność państwa; zamach na konstytucyjny ustrój państwa lub jego naczelne organy albo na jednostkę Sił Zbrojnych Rzeczypospolitej Polskiej; szpiegostwo lub ujawnienie informacji niejawnych o klauzuli tajności tajne lub ściśle tajne; gromadzenie broni, materiałów wybuchowych lub radioaktywnych; fałszowanie oraz obrót fałszywymi pieniędzmi, środkami lub instrumentami płatniczymi albo zbywalnymi dokumentami uprawniającymi do otrzymania sumy pieniężnej, towaru, ładunku albo wygranej rzeczowej, albo zawierającymi obowiązek wpłaty kapitału, odsetek, udziału w zyskach lub stwierdzenie uczestnictwa w spółce, itp. Czy sąd, prokurator i uprawnione podmioty potrzebują kontroli informacji? Z przedstawionego wyżej opisu jednoznacznie wynika, że celem stosowania kontroli informacji jest zwalczanie bardzo ciężkich przestępstw. W naszej ocenie wykorzystywanie informacji przez podmioty właściwe w sprawach bezpieczeństwa było, jest i będzie miało bardzo duże znaczenie i należy liczyć się z tym, że znaczenie to będzie wzrastało wraz z rozwojem technik informatycznych i telekomunikacyjnych. Nie bez znaczenia na powyższe działania mają sytuacje polityczne, militarne, gospodarcze w Polsce i na świecie. Poniżej opiszemy przebieg procesu kontroli informacji wykonywanej przez uprawnione podmioty (kontrola operacyjna) oraz na rzecz sądu lub prokuratora (kontrola procesowa). Kontrola operacyjna - przepisy W ramach wykonywanych czynności operacyjno-rozpoznawczych, podejmowanych przez uprawniony podmiot w celu zapobieżenia, wykrycia, ustalenia sprawców, a także uzyskania i utrwalenia dowodów, ściganych z oskarżenia publicznego, umyślnych najcięższych przestępstw, gdy inne, wcześniej podejmowane środki, okazały się bezskuteczne albo będą nieprzydatne, sąd okręgowy może, w drodze postanowienia, zarządzić kontrolę operacyjną. Sąd zarządza kontrolę operacyjną na pisemny wniosek upoważnionego przedstawiciela uprawnionego podmiotu (np. Szefa ABW, Szefa CBA, Komendanta Głównego Policji, komendanta wojewódzkiego Policji itp.) złożony po uzyskaniu pisemnej zgody właściwego prokuratora. Wniosek uprawnionego przedstawia się wraz z materiałami uzasadniającymi potrzebę zastosowania kontroli operacyjnej. W przypadkach niecierpiących zwłoki, jeżeli mogłoby to spowodować utratę informacji lub zatarcie albo zniszczenie dowodów przestępstwa, uprawniony podmiot może zarządzić, po uzyskaniu pisemnej zgody właściwego prokuratora, kontrolę operacyjną, zwracając się jednocześnie do właściwego miejscowo sądu z wnioskiem o wydanie postanowienia w tej sprawie. W razie nieudzielenia przez sąd zgody w terminie pięciu dni od dnia zarządzenia kontroli operacyjnej, organ zarządzający wstrzymuje kontrolę operacyjną oraz dokonuje protokolarnego, komisyjnego zniszczenia materiałów zgromadzonych podczas jej stosowania. W przypadku potrzeby zarządzenia kontroli operacyjnej wobec osoby podejrzanej lub oskarżonego, we wniosku uprawnionego podmiotu o zarządzenie kontroli operacyjnej zamieszcza się informację o toczącym się wobec tej osoby postępowaniu. Na czym polega kontrola operacyjna? Ustawy kompetencyjne opisują kontrolę operacyjną jako uzyskiwanie i utrwalanie: 1) treści rozmów prowadzonych przy użyciu środków technicznych, w tym za pomocą sieci telekomunikacyjnych; 2) obrazu lub dźwięku osób z pomieszczeń, środków transportu lub miejsc innych, niż miejsca publiczne; 3) treści korespondencji, w tym korespondencji prowadzonej za pomocą środków komunikacji elektronicznej; 4) danych zawartych w informatycznych nośnikach danych, telekomunikacyjnych urządzeniach końcowych, systemach informatycznych i teleinformatycznych. Kontrola operacyjna może być zarządzona na czas nie dłuższy niż 3 miesiące. Sąd może, na pisemny wniosek uprawnionego podmiotu, złożony po uzyskaniu pisemnej zgody właściwego prokuratora, wydać postanowienie o jednorazowym przedłużeniu kontroli operacyjnej na czas nie dłuższy niż kolejne 3 miesiące. W uzasadnionych przypadkach sąd może wydawać kolejne postanowienia o przedłużeniu kontroli operacyjnej na następujące po sobie okresy, których łączna długość nie może przekraczać 12 miesięcy. Przedsiębiorca telekomunikacyjny jest obowiązany do zapewnienia na własny koszt warunków technicznych i organizacyjnych umożliwiających prowadzenie przez uprawniony podmiot kontroli operacyjnej. Nieprecyzyjne przepisy Przepisy nie precyzują, jakie dokumenty musi przedstawić uprawniony podmiot przedsiębiorcy telekomunikacyjnemu, aby można rozpocząć czynności związane z taką kontrolą. Nie ulega wątpliwości, że dokumenty te muszą zawierać informacje dotyczące osoby, wobec której czynności te będą wykonywane, organu uprawnionego podmiotu upoważnionego do prowadzenia kontroli operacyjnej, osoby reprezentującej uprawniony podmiot, czasu prowadzenia kontroli. Dokument taki może zawierać uzasadnienie wszczęcia kontroli operacyjnej oraz wskazówki organizacyjne lub techniczne związane z ww. czynnościami. Wyżej opisany dokument musi być podpisany przez osobę ustawowo upoważnioną do występowania z wnioskiem lub do wszczynania kontroli operacyjnej. Jeden egzemplarz takiego dokumentu powinien otrzymać przedsiębiorca telekomunikacyjny i być przechowywany jako potwierdzenie legalnego udostępnienia informacji stanowiącej tajemnicę telekomunikacyjną. Nie ulega żadnej wątpliwości, że dokument skierowany do przedsiębiorcy telekomunikacyjnego zawiera informacje, które wyczerpują znamiona informacji niejawnych i powinny być chronione w sposób określony w przepisach o ochronie informacji niejawnych. Co powinien zrobić operator? Po sprawdzeniu dokumentów dotyczących wszczęcia kontroli operacyjnej, tożsamości osoby reprezentującej, po potwierdzeniu ich wiarygodności i spełnienia wymogów formalnych upoważniony przedstawiciel przedsiębiorcy telekomunikacyjnego udostępnia system służący do kontroli informacji przesyłanej w sieci telekomunikacyjnej. System taki powinien spełniać wymogi określone w przepisach, w szczególności powinien on zapewniać dostęp do przesyłanych komunikatów do i z zakończenia sieci, wskazanego w dokumentach kontroli operacyjnej, słuchanie lub oglądanie przesyłanej informacji, utrwalanie takiej informacji. System ten powinien zapewnić również dostęp do danych telekomunikacyjnych związanych z kontrolowaną treścią przekazu telekomunikacyjnego. UWAGA: System służący do kontroli informacji może wyłącznie pozyskiwać dane telekomunikacyjne i treść przekazu telekomunikacyjnego wyłącznie w takiej postaci, w jakiej został on wprowadzony do sieci. Jeśli został on przed wprowadzeniem do sieci zaszyfrowany, to w postaci zaszyfrowanej powinien być zarejestrowany. Jeżeli zostały one zaszyfrowane przez przedsiębiorcę telekomunikacyjnego, to w takim przypadku należy te informacje odszyfrować. Nie wolno również w żaden sposób ingerować w kontrolowane urządzenia końcowe, t.j. telefon, komputer itp. Kontrola procesowa, czyli kontrola i utrwalanie rozmów Sąd, po wszczęciu postępowania karnego, na wniosek prokuratora może zarządzić kontrolę i utrwalanie treści rozmów telefonicznych w celu wykrycia i uzyskania dowodów dla toczącego się postępowania lub zapobieżenia popełnieniu nowego przestępstwa. Przepisy opisujące kontrolę i utrwalanie treści rozmów telefonicznych stosuje się odpowiednio do kontroli oraz do utrwalania treści innych rozmów lub przekazów informacji, w tym korespondencji przesyłanej pocztą elektroniczną. W wypadkach niecierpiących zwłoki kontrolę i utrwalanie treści rozmów telefonicznych może zarządzić prokurator, który jest obowiązany zwrócić się w terminie 3 dni do sądu z wnioskiem o zatwierdzenie postanowienia. Sąd w terminie 5 dni wydaje w tej sprawie postanowienie. W wypadku niezatwierdzenia postanowienia prokuratora sąd w postanowieniu wydanym zarządza zniszczenie wszystkich utrwalonych zapisów. Kontrola i utrwalanie treści rozmów telefonicznych (kontrola procesowa) są dopuszczalne tylko wtedy, gdy toczące się postępowanie lub uzasadniona obawa popełnienia nowego przestępstwa dotyczy najcięższych przestępstw, wskazanych w Kodeksie postępowania karnego. Kontrola procesowa może być realizowana w stosunku do osoby podejrzanej, oskarżonego oraz w stosunku do pokrzywdzonego lub innej osoby, z którą może się kontaktować oskarżony, albo która może mieć związek ze sprawcą lub z zagrożeniem przestępstwem. Urzędy i instytucje prowadzące działalność telekomunikacyjną oraz przedsiębiorca telekomunikacyjny w rozumieniu ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne, obowiązani są umożliwić wykonanie postanowienia sądu lub prokuratora w zakresie przeprowadzenia kontroli rozmów telefonicznych oraz zapewnić rejestrowanie faktu przeprowadzenia takiej kontroli. Prawo odtwarzania zapisów ma sąd lub prokurator, a w wypadkach niecierpiących zwłoki, za zgodą sądu lub prokuratora, także Policja. Prawo zapoznawania się z rejestrem przeprowadzonych kontroli rozmów telefonicznych ma sąd, a w postępowaniu przygotowawczym – prokurator. Kontrola i utrwalanie rozmów telefonicznych mogą być wprowadzone najwyżej na okres 3 miesięcy, z możliwością przedłużenia, w szczególnie uzasadnionym wypadku, na okres najwyżej dalszych 3 miesięcy. Sposób technicznego przygotowania sieci telekomunikacyjnej do kontroli przekazów telekomunikacyjnych, a także sposób dokonywania zapisów z kontrolowanych przekazów telekomunikacyjnych, ich rejestracji, przechowywania, odtwarzania i niszczenia określił Minister Sprawiedliwości w rozporządzeniu z dnia 24 czerwca 2003 r. w sprawie sposobu technicznego przygotowania sieci służących do przekazywania informacji, do kontroli przekazów informacji oraz sposobu dokonywania, rejestracji, przechowywania, odtwarzania i niszczenia zapisów z kontrolowanych przekazów (Dz.U. 2003 nr 110 poz. 1052). System Sposób przygotowania systemu służącego do realizacji czynności związanych z kontrolą procesową jest zbliżony do sposobu przygotowania systemu do realizacji kontroli operacyjnej. Przepisy określające sposób prowadzenia kontroli procesowej jednoznacznie określają dokumentację będącą podstawą rozpoczęcia właściwych czynności przez przedsiębiorcę telekomunikacyjnego. Dokumentem takim jest postanowienie sądu lub prokuratora. W postanowieniu takim wskazany jest przedmiot kontroli operacyjnej, podmiot uprawniony to znaczy podmiot uprawniony do wykonania postanowienia sądu lub prokuratora, podmiot obowiązany tzn. urząd, instytucja prowadząca działalność telekomunikacyjną, w tym przedsiębiorca telekomunikacyjny. Ponadto przepisy te określają sposób postępowania z dokumentacją, utrwalonymi przekazami, jednoznacznie wskazując, że czynności związane z wykonywaniem kontroli procesowej powinny być realizowane w sposób przewidziany dla przekazywania wiadomości, na które rozciąga się obowiązek ochrony informacji niejawnych, o klauzuli co najmniej TAJNE, potwierdzone Świadectwem Bezpieczeństwa Przemysłowego co najmniej II stopnia. Z powyższych wyjaśnień wynika wniosek, że przedsiębiorca nie może mieć nic wspólnego z systemem Pegasus opisywanym w mediach, a mogącym być w dyspozycji służb specjalnych. Podsumowanie Przedsiębiorca telekomunikacyjny ma ustawowy obowiązek zapewnienia warunków kontroli informacji wykonywanej przez służby specjale w ramach kontroli operacyjnej lub przez wyznaczone osoby w ramach kontroli procesowej. System służący do realizacji ww. obowiązków nie może ingerować w urządzenia końcowe kontrolowanego abonenta. Informacje o Pegasusie czerpałem wyłącznie z publicznie dostępnych źródeł.

TECHNOLOGIA · CYBERBEZPIECZEŃSTWO · BIZNES

Wszystko, co powinniście wiedzieć o Pegasusie

Czytaj więcej

Najnowsze

Wyciek danych z laboratorium ALAB może dotyczyć nie tylko jego klientów. Jak sprawdzić, czy nasze dane są bezpieczne?

ZUS chce mieć prawo kwestionowania wysokości podstawy wymiaru składek. Rzecznik MŚP interweniuje

Energia geotermalna Google’a

KoalaTel gotowa do wdrożenia

O nas

TECHNOLOGIA · CYBERBEZPIECZEŃSTWO · BIZNES

Wszystko, co powinniście wiedzieć o Pegasusie

Czytaj więcej

ARTYKUŁY POWIĄZANE

Najnowsze

O nas