W projekcie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa zapisana jest możliwość wyłączenia serwisów online po decyzji ministra. Służy temu tzw. polecenie zabezpieczające. Może je wydać operatorom telekomunikacyjnym minister właściwy do spraw informatyzacji, którym obecnie jest premier. Czy sytuacje, które znamy z Chin, Białorusi czy Korei, będą możliwe także w Polsce?
Polecenie ważne zgodnie z tymi przepisami jest decyzją administracyjną. Może obowiązywać przez dwa lata. Po jego wydaniu firmy telekomunikacyjne zobowiązane są do podjęcia nakazanych przez ministra działań czyli na przykład mają zakaz realizacji połączeń z określonymi adresami IP czy stronami internetowymi.
Różnica w stosunku do ubiegłorocznego projektu jest znaczna. W nowej wersji takie polecenie może być wydane bez podania uzasadnienia, do czego uprawnia klauzula „jeżeli wymagają tego względy obronności lub bezpieczeństwa państwa lub bezpieczeństwa i porządku publicznego”. Po wydaniu decyzji firmy muszą od razu podjąć działania prowadzące do blokady.
– Natychmiastowa wykonalność nie pozostawia żadnego pola manewru – zwraca uwagę dr Łukasz Olejnik, niezależny badacz i konsultant ds. cyberbezpieczeństwa i prywatności.
Ponadto wyjaśnia, że obronność czy bezpieczeństwo są terminami potajemnymi. Może je jakoś sobie wyobrazić czy próbować dookreślić, ale jest też pojęcie „porządku publicznego”, a pod to można właściwie podciągnąć wszystko.
Wydział Promocji Polityki Cyfrowej KPRM informuje, że celem tych przepisów „jest pilne podjęcie skutecznych działań w przypadku wystąpienia incydentu krytycznego”. Chodzi o sytuację, której występowanie skutkuje szkodą dla „bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi”. I w takich sytuacjach konieczne jest stosowanie polecenia zabezpieczającego. Jednak brak ostrych definicji tych kategorii budzi wątpliwości.
– Blokowanie zasobów sieciowych uniemożliwia cyberprzestępcom kontrolę nad złośliwym oprogramowaniem lub wykradaniem danych. Problem pojawia się z decyzjami bez uzasadnienia, zwłaszcza gdy obszar do blokad miałby okazać się dysproporcjonalnie szeroki – zauważa Łukasz Olejnik.
Zdaniem eksperta taka ustawowa możliwość nie oznacza od razu całkowitej blokady internetu.
– Natura takich decyzji może budzić uzasadnione wątpliwości, ale wszystko zależy od stosowania tego rozwiązania w praktyce. Czyli od intencji – twierdzi Olejnik – Możemy spróbować wyobrazić sobie próbę kreatywnego podejścia, z teoretycznym wyszczególnieniem zakazu dystrybucji wszystkich wersji jakichś aplikacji, np. komunikatorów. Wtedy widać, że wykorzystanie tych narzędzi będzie w pełni zależało od celów i intencji osoby, której będzie dane być wtedy ministrem – wskazuje.
Sugeruje też, by w ustawie o Krajowym Systemie Cyberbezpieczeństwa doprecyzowano wskazania do wydawania takich decyzji. Prace nad ustawą mogłyby być okazją do dyskusji o szczegółach takich zabezpieczeń oraz do zakresu wolności obywateli także w sieci.
– Przy dużej dozie złej woli ze strony rządu te przepisy mogłyby zostać wykorzystane do niecnych celów, jak blokowanie niektórych usług w internecie. Ale patrząc na to realistycznie, nie sądzę, by należało się obawiać ich nadużywania polecenia zabezpieczającego – mówi Wojciech Dziomdziora, główny prawnik w firmie telekomunikacyjnej Nexera.
Podaje też przykłady, w których niezbędne jest szybkie wydawanie takich decyzji, gdy nie ma czasu na uzasadnienie. Dotyczy to np. ataków hakerskich, gdy o zapewnieniu bezpieczeństwa państwa mogą decydować sekundy. Przypomina też, ze obecnie takie kwestie regulują przepisy prawa telekomunikacyjnego.
– Przewiduje ono, że w tzw. sytuacjach szczególnych zagrożeń prezes UKE może nakazać operatorom „odcięcie internetu” lub innych usług telekomunikacyjnych. Ale te sytuacje szczególnych zagrożeń to sytuacje skrajne – jakiegoś kataklizmu lub wojny – wskazuje Wojciech Dziomdziora – Prawo co do zasady nie daje też możliwości odcinania internautom dostępu do poszczególnych portali lub serwisów społecznościowych. Dziś są zasadniczo tylko dwie kategorie stron, które operatorzy muszą blokować – to serwisy hazardowe i zawierające dziecięcą pornografię – wylicza.
Jednak nie wiadomo, czy nowe przepisy nie rozszerzą tego zakresu.
KPRM uspokaja, że zapisy w nowej ustawie „nie uwzględniają wyłączania serwisów społecznościowych, publicznie dostępnych aplikacji czy stron internetowych”. A możliwość odstąpienia od wydania uzasadnienia do decyzji będzie dotyczyć tylko tych sytuacji, które będą dotyczyć względów obronności lub bezpieczeństwa państwa lub bezpieczeństwa i porządku publicznego. Nadal ma tez obowiązywać procedura odwoławcza.
Źródło: https://serwisy.gazetaprawna.pl/
