Katarzyna Żaczkiewicz-Zborska: - Jak naprawić system wydawania zgód na podsłuchy?
Adam Behan: - Bez bardzo gruntownej zmiany obowiązującego prawa tego się nie da zrobić i to co najmniej z kilku powodów.
Po pierwsze, wniosek o kontrolę operacyjną przedstawia się do właściwego sądu okręgowego wraz z materiałami uzasadniającymi potrzebę jej zastosowania, co teoretycznie powinno zapewnić sądowi możliwość dokładnej analizy wniosku i niezależną oraz obiektywną kontrolę ex ante nad ograniczeniem konstytucyjnych praw i wolności. Tyle teoria. W praktyce przepisy nakazują wskazać we wniosku wyłącznie informacje, które będą uzasadniały potrzebę stosowania wniosku, a nie całość materiałów dostępnych na danym etapie sprawy. Innymi słowy, pozwala to służbom „ominąć” niewygodne dla siebie fakty czy kontekst, czy wręcz okoliczności, które uprawdopodobniają brak związku danej osoby ze sprawą, a które – gdyby znalazły się w przedłożonych dokumentach – mogłyby spowodować, iż zgoda nie zostanie wydana. Nie można też nie zasygnalizować, że i decyzje podejmowane przez sędziów wydają się rażąco sprzeczne z rolą, jaką sąd powinien spełniać w tej procedurze. Zgodnie z informacją za 2021 rok na temat działalności Policji, Biura Nadzoru Wewnętrznego, Służby Ochrony Państwa (druk sejmowy nr 2433) – datowaną na 30 czerwca 2022 r. – organy policji zarejestrowały 11074 wnioski o kontrolę operacyjną, z których tylko 162 (1,4%) nie uzyskało zgody prokuratora (155) bądź sądu (7). Dla podkreślenia – na 11074 wniosków tylko 7 (!) nie uzyskało zgody sądu. To pokazuje, że sądy, bez względu na to co otrzymają i w jakiej formie przygotowane, niemal automatycznie wydają zgody na stosowanie kontroli, bez analizy przedkładanych wniosków. Uczciwość każe jednak dodać że liczba takich wniosków wynosi ok. kilkudziesięciu dziennie, a rzetelne zapoznanie się z każdą sprawą musiałoby zająć wiele godzin czy dni, co przy niewystarczającej obsadzie stanowisk, czyni to zadanie niemal niemożliwym.
Po drugie, zgoda sędziego na stosowanie kontroli operacyjnej nie wymaga od niego żadnych dalszych czynności, za to odmowa stosowania takiej kontroli wymaga sporządzenia uzasadnienia które „utrzyma się” w sądzie apelacyjnym. To wyrażenie zgody na stosowanie środka tak ingerującego w prawa konstytucyjne, winno być warunkowane wydaniem uzasadnienia, a nie odwrotnie. W obecnym stanie prawym to sędzia musi uzasadniać dlaczego nie przekonały go materiały przedłożone przez służbę.
Po trzecie, brak jest realnej możliwości weryfikacji materiałów jakie przedłożone zostały we wniosku, gdyż bardzo często opierać się one będą na notatce sporządzonej przez funkcjonariusza informującej, że uzyskał informację iż X np. handluje narkotykami. Notatce, dodatkowo w żadnej sposób nie weryfikowalnej, a także w żaden sposób następczo nie kontrolowanej. Mówiąc wprost - można by sfabrykować materiały względem każdego i na ich podstawie uzyskać zgodę sądu, która zostanie „przyklepana” przez sąd, który najpewniej bez gruntownej analizy takiego wniosku wyrazi zgodę na stosowanie kontroli operacyjnej.
Po czwarte, wnioski o zarządzenie kontroli rozpoznawane są przez sądy jednoosobowo i zgodnie z brzmieniem art. 47a ustawy o ustroju sądów powszechnych przydzielane są sędziemu pełniącemu dyżur. Łatwość uzyskania przez służby informacji, który z sędziów akurat jest na dyżurze, stwarza możliwość wyboru sędziego, który „przychylniej” odnosi się do takich wniosków. Na to nakłada się problem wynikający z łączenia dwóch funkcji - Ministra Sprawiedliwości i Prokuratora Generalnego. Osoba pełniąca obie role ma możliwość wpływania na obsadę stanowisk sędziowskich, na przykład poprzez mianowanie na prezesa sądu okręgowego sędziego, który może być jej zobowiązany. To z kolei umożliwia kształtowanie składu sędziowskiego w poszczególnych wydziałach sądów, w tym w kluczowym wydziale Sądu Okręgowego w Warszawie, który te wnioski rozpoznaje. Takie działanie otwiera drogę do pośredniego wpływania na operacje jednostek podległych władzy wykonawczej.
Doświadczenia z ostatnich lat pokazują, że problem ten nie jest tylko teoretyczny, ale ma realne skutki w postaci wykorzystywania prawa w sposób instrumentalny, co jest bezpośrednio związane z połączeniem ról Ministra Sprawiedliwości i Prokuratora Generalnego. Innymi słowy – sąd, który ma stać na straży wolności obywatelskich i kontrolować zasadność stosowania kontroli operacyjnej, jest pośrednio sterowany przez prokuratora generalnego. Jednocześnie mieć należy na względzie, że praktyka wyrażania niemal 100 proc. zgód na stosowanie kontroli operacyjnej, istnieje od kilkunastu lat i połączenie funkcji zmieniło sytuację skrajnie nieakceptowaną - w ekstremalnie skrajnie nieakceptowalną.
We wniosku o uzyskanie zgody na podsłuch nie musi paść nazwisko podsłuchiwanego?
Nie, wszakże czasem go nie znamy na tym etapie. We wniosku wystarczy podać numer telefonu. Ale przecież taki numer może należeć do szefa sztabu wyborczego partii opozycyjnej albo adwokata. I nad tym nie ma żadnej kontroli, bo de facto sędzia może nie wiedzieć komu zleca podsłuch czy stosowanie kontroli operacyjnej. Dociekliwy sędzia może starać się dowiedzieć z czego wynika taki wniosek, pójść do kancelarii tajnej i analizować sprawę i prosić o dodatkowe dokumenty, ale to wszystko zabiera czas, a jego wysiłek nie będzie miał żadnego wpływu na jego statystykę obciążeń (nie są uwzględniane w ocenie dorobku, który ma znaczenie w kontekście ew. awansu).
Jednocześnie sędzia działa pod presją czasu, bo przecież "istnieje” ryzyko popełnienia poważnego przestępstwa czy utraty dowodów. Jak wyda zgodę, to nie musi nic więcej robić i nikt go z tego nie rozlicza. Wyobraźmy sobie jednocześnie sytuację, w której sędzia nie zgodził się na podsłuch, a doszłoby np. do zabójstwa, któremu ów podsłuch mógłby zapobiec. Odezwą się oburzone głosy: można było zapobiec temu morderstwu, ale sędzia X nie wydał zgody na podsłuch, bo pewnie chronił przestępców. I koło się zamyka – sądy wydają zgody na wszystko, a służby składają wnioski jakie chcą. Co więcej – służby nie są w żaden sposób rozliczane z kontroli operacyjnej.
Czyli nie sprawdza się jej skuteczności?
Sprawdza się, ale nie w konkretnej sprawie. Zwrócę uwagę na zawartą w przywołanym druku sejmowym nr 2433 informację, z której wynika, iż tylko w 1672 przypadkach przeprowadzonej kontroli operacyjnej uzyskano dowody do procesu karnego. Mając na względzie, że w 2021 r. dokonano także 1503 przedłużeń kontroli operacyjnych, widać, że tylko ok. 10 procent najbardziej ingerujących w prawa obywatelskie działań służb zakończyło się zdobyciem jakiegokolwiek dowodu wykorzystanego później w procesie karnym. Każe to podać w wątpliwość tak częste i szerokie stosowanie tych inwazyjnych środków. Mając na uwadze fakt, iż tylko ok. 10 procent zarządzonych kontroli kończy się uzyskaniem jakiegokolwiek dowodu, a akceptowane są niemal wszystkie wnioski, wskazywać może, że sądy w niewystarczająco drobiazgowy sposób badają przedkładane prośby, a służby – wiedząc, jaka jest praktyka sądowa w tym zakresie – nie muszą traktować tego sposobu pozyskania informacji jako prawdziwie subsydiarnego. Od lat zatem wiemy że zdecydowana większość kontroli operacyjnych nie przyniosła żadnych dowodów, i nic w tym zakresie się nie zmienia.
A w krajach unijnych sprawdza się skuteczność środków operacyjnych. I to daje pewien hamulec służbom.
Czy sądy wiedziały że kontrola operacyjna będzie polegać na stosowaniu Pegasusa?
Nie umiem odpowiedzieć na to pytanie, bo trzeba by o to spytać każdego sędziego, który taką zgodę wyraził. Zakładam jednak, że w bardzo wielu przypadkach sądy nie miały świadomości na co się zgadzają, bo też nie ma obowiązku aby we wniosku o kontrolę zawrzeć rozwiązanie techniczne czy program, który będzie używany. Sądy najczęściej zgadzały się na stosowanie kontroli operacyjnej przewidzianej w ustawie o Policji w art. 19 ust.6. Stanowi on, że kontrola operacyjna prowadzona jest niejawnie i polega na „uzyskiwaniu i utrwalaniu danych zawartych w informatycznych nośnikach danych, telekomunikacyjnych urządzeniach końcowych, systemach informatycznych i teleinformatycznych” I w tak ogólne sformułowanie służby włączały Pegasusa.
Problem polega na tym, że jeszcze pięć lat temu większości sędziom do głowy nie przyszło, że można w taki sposób włamywać się do telefonów i uzyskiwać za pomocą szpiegowskiego oprogramowania dowody, które byłyby następczo wykorzystane w procesie karnym. Sądy początkowo nie miały pojęcia na co wydają zgodę, że mają do czynienia z systemem, który włamuje się na urządzenia mobilne kontrolowanych. Wniosek nie brzmiał: „my chcemy wykorzystać system spyware, który z wykorzystaniem luk 0-day kupowanych na czarnym rynku, będzie się włamywał do telefonów, żeby podsłuchiwać polityka opozycji i włączać mu kamerę jak jest w toalecie”. Zamiast tego we wniosku było napisane: „wnioskujemy o zastosowanie kontroli operacyjnej polegającej na uzyskaniu danych zwartych na nośnikach danych, dla numeru telefonu XXX-XXX-XXX”. Wnioski nie muszą być inaczej sformułowane.
Jakie są postulaty dla legislatora, co trzeba zmienić w kodeksie postępowania karnego?
Zmiany powinny być zdecydowanie szersze - ich propozycje prezentowałem w opinii prawnej, dotyczącej kontroli nad służbami specjalnymi Rzeczypospolitej Polskiej, przygotowanej na zlecenie Komisji Nadzwyczajnej ds. wyjaśnienia przypadków nielegalnej inwigilacji, ich wpływu na proces wyborczy w RP oraz reformy służb specjalnych. Wskazałem tam m.in. iż analiza obecnego stanu prawnego skłania do przedstawienia następujących postulatów i uwag de lege ferenda, które zbliżałyby polskie prawo do standardów państwa demokratycznego.
Przede wszystkim - należy zobowiązać służby do przedkładania, wraz z wnioskiem, całości zgromadzonych (i zanonimizowanych) w danej sprawie materiałów, ze szczególnym uwzględnieniem tych niebędących „na korzyść” osoby objętej wnioskiem. Explicite wskazany powinien być również we wniosku konkretny policjant/agent, który poświadcza pod odpowiedzialnością karną kompletność posiadanych i przedkładanych w sprawie dokumentów.
Po drugie - w razie wprowadzenia następczej kontroli, w czasie której wykazano by „ominięcie” istotnych materiałów będących w dyspozycji na etapie składania wniosku, mogących mieć mieć wpływ na podjętą decyzję, kluczowe byłoby rzeczywiste wyciąganie konsekwencji wobec takich osób, co jednocześnie stanowiłoby samoistną zaporę przed składaniem takich niekompletnych/wadliwych wniosków w przyszłości.
Co więcej - należy zmienić model akceptacji bądź odrzucenia wniosku przez sąd – przez nałożenie obowiązku uzasadniania decyzji o jej zastosowaniu, przy braku uzasadnienia decyzji odmownej lub bądź wprowadzenia przynajmniej równoważnego obowiązku względem obu kategorii decyzji.
Ponadto - należy wprowadzić obowiązek publikowania przez służby bardzo szczegółowych statystyk na temat zakresu działań podejmowanych w ramach kontroli operacyjnej i pozyskiwana danych telekomunikacyjnych, dostosowując polskie prawo do standardów wynikających z orzeczenia ETPC z dnia 25 czerwca 2013 r. w sprawie Youth Initiative For Human Rights v. Serbia oraz wyroku K 23/11, w którym Trybunał Konstytucyjny zwrócił uwagę na „konieczność wprowadzenia prawnego obowiązku podawania do publicznej wiadomości zagregowanych danych statystycznych o liczbie i rodzaju stosowanych czynności operacyjno-rozpoznawczych ingerujących w konstytucyjne wolności i prawa człowieka. Wymóg ten wynika z zasady demokratycznego państwa prawnego (art. 2 Konstytucji)”.
Wreszcie - trzeba przesyłać do sądu wraz z wnioskiem o zarządzenie kontroli operacyjnej materiałów uzasadniających potrzebę zastosowania takiej kontroli.
Jednocześnie rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 8 lipca 2022 r. w sprawie kontroli operacyjnej prowadzonej przez Policję, nie przewiduje zachowywania kopii tych materiałów po ich zniszczeniu.
Należy także wprowadzić większe gwarancje dotyczące prowadzenia kontroli operacyjnej względem osób zobowiązanych do zachowania tajemnicy zawodowej czy obrończej, np. przez warunkowanie wyrażenia zgody połączone z badaniem przesłanek opisanych w tej jednostce redakcyjnej, oraz wprowadzenia bezwzględnego zakazu przeglądania/odsłuchiwania materiałów uzyskanych w efekcie prowadzenia kontroli operacyjnej względem tej grupy osób przez inny niż niezawisły sąd organ.
Należy również uchwalić ustawę o czynnościach operacyjnych, która zawierałaby katalog dopuszczalnych sposobów prowadzenia kontroli operacyjnych przez wszystkie służby do tego uprawnione, precyzując bardzo ogólne sformułowania przewidziane w ustawach kompetencyjnych, a dotyczące zakresu i sposobu prowadzenia takiej kontroli.
A także - należy wprowadzić obowiązek poinformowania jednostki o podjętych wobec niej działaniach operacyjno-rozpoznawczych oraz pozyskaniu informacji na jej temat.
Czy to znaczy nie dopuszczałby Pan w ogóle stosowania przez służby oprogramowania wykorzystującego luki 0-day i „włamującego się” na urządzenia mobilne czy komputery?
Tak mocnej tezy bym nie postawił. Niewątpliwie wykorzystywanie takich narzędzi wymagałoby zmiany szeregu aktów prawnych, począwszy od rozszerzenia katalogu samych kategorii kontroli operacyjnej, przez zawężenie ich wykorzystywania do najcięższych z przestępstw. Mam świadomość, że w dzisiejszych czasach możliwość wykorzystywania oprogramowania, które wykorzystując szyfrowanie E2E (end to end) czy dodatkowe protokoły anonimizacji ruchu, uniemożliwiałoby jakąkolwiek infiltrację grup przestępczych, szpiegowskich czy terrorystycznych, które korzystałyby z takich narzędzi. Trzeba jasno przesądzić, jeśli już takie narzędzia mają funkcjonować, jaki katalog czynów, które mogą być ścigane z wykorzystaniem tego typu oprogramowania.
Każda służba np. kontrwywiadu chce też posiadać takie systemy czy narzędzia dla ochrony Państwa. Nie wydaje się zatem właściwe – przy uwzględnieniu zasady proporcjonalności – zakazywanie wykorzystywania takich narzędzi czy technik a priori. Nie oznacza to jednak, że ich stosowanie, zwłaszcza przez służby inne niż ABW/SWK/SW/SWW, nie powinno być poddane bardzo ścisłemu nadzorowi. Jednym z warunków powinna być zgoda na stosowanie takich narzędzi wyrażona przez skład 3 sędziów.
Problemem wykorzystywania tych informacji jest to, że przesyłamy je do służb specjalnych Izraela i że robimy to na mało ważnych sprawach, które mają uderzyć w polityków opozycji, a także „swoich”. Zbieranie danych nie ma na celu bezpieczeństwo państwa, lecz cel ściśle polityczny.
Na jakie pytania powinna zatem odpowiedzieć sejmowa komisja śledcza do zbadania legalności, prawidłowości oraz celowości czynności operacyjno – rozpoznawczych, podejmowanych m.in. z wykorzystaniem oprogramowania Pegasus?
Tych pytań jest bardzo wiele, począwszy do legalności wydatkowania samych środków na jego zakup, po jedną z najbardziej ważkich zagadnień dotyczących procedury dopuszczenia tego systemu do użytkowania, tj. m.in. kto i kiedy dokonał akredytacji systemu Pegasus i na podstawie jakich dokumentów? Czy akredytujący (ABW lub SWK) posiadał kompletną dokumentację tego programu, w szczególności dokument szczegółowych wymagań bezpieczeństwa systemu teleinformatycznego? Czy akredytujący miał dostęp do kodu źródłowego akredytowanego systemu, który warunkować powinien przyznanie akredytacji? (bez dostępu do kodu źródłowego nie powinno być możliwości wydania akredytacji). Czy analizie poddany został model transmisji danych wykorzystywanych przez Pegasusa, zasadzający się na wykorzystywaniu serwerów proxy zarządzanych przez NSO? Czy oprogramowanie było sprawdzane pod kątem podatności, czy luk które umożliwiłyby osobom nieuprawnionym dostęp do niego? Kto w CBA podejmował decyzję o zastosowaniu Pegasusa w konkretnej sprawie?
Dlaczego akredytacja takiego systemu jest ważna?
Bo ma na celu zabezpieczenie interesów Państwa Polskiego. Proszę sobie wyobrazić, że kupujemy program, który ma zaszyte w sobie przez twórców tzw. backdoory – czyli pewne celowo umieszczane „sposoby tajnego wejścia” do tego systemu, albo model komunikacji, który w nim został zaimplementowany oznacza przesyłanie danych pobranych z telefonu podsłuchiwanego przez serwery producenta. Przecież w takim przypadku oznaczać by to mogło, że wszystkie dane jakie zdobywamy za pomocą takiego programu (np. Pegasusa), ujawniamy producentowi tego oprogramowania. Taka akredytacja ma za zadanie bardzo dokładnie zanalizować kod źródłowy takiego programu, sprawdzić czy nie ma nim żadnych podatności czy innych zagrożeń dla potencjalnego wycieku danych w nim przetwarzanego.
A jeśli, jak w przypadku Pegasusa, producentem jest firma założona przez byłych członków elitarnej jednostki 8200 izraelskiego korpusu wywiadowczego, odpowiedzialnej za zbieranie danych wywiadowczych, może okazać się że dane przekazujemy zatem wywiadowi obcego państwa. Doraźna polityczna potrzeba aby ścigać polityka opozycji czy nawet, o ile medialne doniesienia są prawdziwe, także polityków swojego obozu politycznego, może zatem nie tylko dać efekt w postaci kompromitujących materiałów, ale także dać wywiadowi obcego państwa niezwykle cenne materiały do potencjalnego wywoływania nacisków na takie osoby.
