Wielka Izba

Warunki legalności masowej inwigilacji obywateli przez służby specjalne

Art. 8 EKPCz
„1. Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji.
2. Niedopuszczalna jest ingerencja władzy publicznej w korzystanie z tego prawa, z wyjątkiem przypadków przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności innych osób.”

Art. 10 EKPCz
„1. Każdy ma prawo do wolności wyrażania opinii. Prawo to obejmuje wolność posiadania poglądów oraz otrzymywania i przekazywania informacji i idei bez ingerencji władz publicznych i bez względu na granice państwowe. Niniejszy przepis nie wyklucza prawa Państw do poddania procedurze zezwoleń przedsiębiorstw radiowych, telewizyjnych lub kinematograficznych.
2. Korzystanie z tych wolności pociągających za sobą obowiązki i odpowiedzialność może podlegać takim wymogom formalnym, warunkom, ograniczeniom i sankcjom, jakie są przewidziane przez ustawę i niezbędne w społeczeństwie demokratycznym w interesie bezpieczeństwa państwowego, integralności terytorialnej lub bezpieczeństwa publicznego ze względu na konieczność zapobieżenia zakłóceniu porządku lub przestępstwu, z uwagi na ochronę zdrowia i moralności, ochronę dobrego imienia i praw innych osób oraz ze względu na zapobieżenie ujawnieniu informacji poufnych lub na zagwarantowanie powagi i bezstronności władzy sądowej.”

Skarżący to grupa organizacji pozarządowych, spółek oraz osób fizycznych (w tym dziennikarzy). Po ujawnieniu informacji dotyczących działalności amerykańskich i brytyjskich służb wywiadowczych przez Edwarda Snowdena, Skarżący uznali, że ze względu na charakter swojej działalności, istnieje duże prawdopodobieństwo, że stosowano wobec nich inwigilację.

Zastrzeżenia Skarżących dotyczyły przede wszystkim następujących instytucji przewidzianych przez ustawę o uprawnieniach śledczych z 2000 r. (Regulation of Investigatory Powers Act 2000; dalej: RIPA; zob. szerzej sekcję akty normatywne):
– możliwości przechwytywania danych internetowych przez służby specjalne (art. 8(4) RIPA);
– uzyskiwania danych od przedsiębiorców komunikacyjnych (rozdział II RIPA);
– otrzymywania danych od obcych (w szczególności amerykańskich) służb wywiadowczych (rozdział 12 kodeksu praktyk w zakresie kontroli operacyjnej).

Jedna z grup Skarżących zdecydowała się powołać na sprzeczność wyżej wymienionych regulacji z art. 8, 10 i 14 EKPCz w toku postępowania przed Trybunałem ds. Uprawnień Śledczych (wyspecjalizowanym -podmiotem zajmującym się skargami na kontrolę operacyjną służb specjalnych). Skargi zostały jednak oddalone i uznano, że brytyjskie regulacje nie naruszają EKPCz.

• Wielka Izba zajmuje się sprawą w takich granicach, w jakich zajmowała się nią Izba. Skoro skargi zostały wniesione w latach 2013–2015, a Izba odniosła się do stanu prawnego obowiązującego w 2017 r., Wielka Izba nie przeprowadzi analizy nowego stanu prawnego, obowiązującego od 2018 r. (§ 268–271)

Zagadnienie przechwytywania danych (art. 8(4) RIPA)

• Na każdym etapie przechwytywania danych (właściwe przechwytywanie, selekcja przez algorytm, analiza przez funkcjonariusza, utrwalenie przechwyconych danych na potrzeby służb) dochodzi do ingerencji w prawo chronione przez art. 8 EKPCz. Z drugiej strony na każdym kolejnym etapie ingerencja jest coraz silniejsza, co w konsekwencji wymaga także silniejszych gwarancji. (§ 324–331)

• Każda ingerencja w prawo chronione przez art. 8 EKPCz – w tym także przechwytywanie danych przez służby specjalne – musi spełnić warunek legalności, realizowania uprawnionego celu oraz konieczności w społeczeństwie demokratycznym. Wymóg legalności oznacza podstawę prawną w prawie krajowym, która powinna być dostępna i przewidywalna, a także zgodna z zasadami rządów prawa. W kontekście działalności służb specjalnych prawo powinno jasno określać przesłanki i warunki prowadzenia inwigilacji tak, aby nie dopuścić do arbitralności w stosowaniu prawa. Wymóg legalności jest w tym zakresie ściśle związany z wymogiem konieczności. Chociaż państwa-strony cieszą się szerokim marginesem oceny co do najlepszego sposobu zapewnienia bezpieczeństwa narodowego, to wymaga się jednak efektywnych zabezpieczeń przeciwko nadużyciom. (§ 332–334, 338–339)

• W orzecznictwie przyjęto, że prawo krajowe w sprawach inwigilacji (tzw. kryteria Weber) powinno określać: (1) rodzaj przestępstw, które uzasadniają stosowanie kontroli operacyjnej, (2) krąg podmiotowy osób kontrolowanych, (3) ograniczenie czasowe kontroli, (4) procedurę sprawdzania, używania oraz przechowywania danych, (5) sposób przekazywania danych osobom trzecim, (6) warunki usuwania i niszczenia zgromadzonych danych. (§ 335) W orzecznictwie przyjmuje się także, że konieczny jest pewien zakres kontroli nad działalnością służb w zakresie inwigilacji. Oczywistym jest, że w trakcie inwigilacji osoba inwigilowana nie może być powiadomiona o postępowaniu, natomiast wówczas konieczne jest stworzenie procedury kontrolnej, najlepiej wykonywanej przez sędziego. (§ 336) Po zakończeniu kontroli konieczne jest także stworzenie mechanizmu ochrony, w którym strona będzie miała prawo wystąpienia do sądu w celu skontrolowania legalności inwigilacji. (§ 337)

• Wydaje się jednak, że powyżej wymienione kryteria – wobec postępu technologicznego, rozwoju internetu i możliwości masowej, nieselektywnej inwigilacji przez służby – muszą podlegać uaktualnieniu. (§ 340–347) W przypadku przechwytywania danych, proporcjonalność i konieczność muszą być oceniane na każdym etapie kontroli operacyjnej (także na etapie zezwolenia na kontrolę oraz post factum) przez niezależny od władzy wykonawczej organ (najlepiej sąd). Organ ten powinien być poinformowany o celu kontroli, a także o prawdopodobnych kanałach komunikacji, które podlegać będą obserwacji oraz kategoriach używanych selektorów (tj. np. słów, czy adresów mailowych, które pojawiają się w sieci i za pomocą których służby wyszukują interesujące je treści). (§ 350–356) W ramach kontroli post factum osoba, która podejrzewa, że była inwigilowana, powinna mieć prawo wystąpienia do niezależnego organu w ramach sprawiedliwej procedury, która jest w stanie doprowadzić do prawnie wiążącej decyzji, w ramach której zarządzi się zakończenie bezprawnej kontroli lub zniszczenie materiałów z takiej kontroli. (§ 357–359)

• Obok kryteriów Weber w przypadku przechwytywania danych Trybunał będzie oceniał, czy przepisy prawne jasno określiły: (1) przesłanki udzielenia zgody na przechwytywanie danych, (2) warunki dostępu do danych konkretnej osoby, (3) procedurę udzielenia zgody na przechwytywanie danych, (4) procedurę selekcji, badania i używania zdobytych informacji, (5) środki ostrożności przy przekazywaniu informacji innym osobom, (6) czas przechwytywania danych oraz reguły gromadzenia i niszczenia zgromadzonych informacji, (7) procedurę nadzoru przez niezależny -podmiot nad przechwytywaniem danych, (8) procedurę kontroli post facto. (§ 361) W przypadku przekazywania danych innym państwom, państwo-strona powinno przekazywać tylko dane uzyskane zgodnie z Konwencją, w wypadkach ściśle określonych przez prawo oraz upewnić się, że w innym państwie dane nie będą używane w niewłaściwy lub nieproporcjonalny sposób. Dane wrażliwe (w szczególności dziennikarskie) zasługują na szczególną ochronę. Transfer danych do innych państw powinien także podlegać kontroli sądowej. (§ 362)

• W realiach sprawy przechwytywanie danych miało podstawę prawną w prawie krajowym. Nie ulegają wątpliwości także cele, na które powołują się władze krajowe. Mimo pewnej kompleksowości przepisy te były dostępne. W konsekwencji Trybunał musi zbadać przewidywalność podstawy prawnej oraz konieczność ingerencji w świetle sformułowanych wyżej kryteriów. (§ 365–367)

• Przesłankami udzielenia zgody na przechwytywanie danych w prawie brytyjskim jest ogólnie określone „bezpieczeństwo narodowe” albo bliżej określone, poważne przestępstwa. Dopuszczalne jest masowe przechwytywanie danych na stosunkowo szerokich podstawach, o ile ogólność użytych w ustawie pojęć jest równoważona przez inne gwarancje. (§ 368–371) Mimo zastrzeżeń co do precyzyjności wyrażenia „dane zewnętrzne”, dookreślenie przez inne przepisy pozwala ustalić, jakie typy danych mogą być przechwytywane. (§ 372–376) Regulacja dotycząca selekcji, badania i użytku uzyskanego materiału była wystarczająco przewidywalna. (§ 384–391) Istniały także wystarczające gwarancje związane z przekazywaniem uzyskanych informacji osobom trzecim. (§ 392–399) Przedłużanie nakazu co 3 lub 6 miesięcy wystarcza do stwierdzenia, że istniały wystarczające gwarancje przeciwko nadużyciom. Uzyskane dane były także niszczone po wystarczająco krótkim okresie. (§ 400–405) Nadzór niezależnego od władzy wykonawczej komisarza ds. kontroli operacyjnej o dość rozległych kompetencjach był efektywny. (§ 406–412) Osoba, która podejrzewała, że przechwytywano jej dane, mogła zgłosić się do Trybunału ds. Uprawnień Śledczych, który mógł uchylić dowolny nakaz, nakazać zniszczenie jakichkolwiek danych i przyznać stosowne odszkodowanie. Kontrola tego podmiotubyła niezależna i efektywna. (§ 413–415) Z drugiej strony jednak zgody na przechwytywanie danych udzielał minister spraw wewnętrznych, który nie może być uznany za organ niezależny. (§ 377) Wprawdzie minister oceniał proporcjonalność przy udzielaniu zgody i był informowany o celu przechwytywania danych, ale nie informowano go o rodzaju używanych selektorów. (§ 378–383) W konsekwencji należało uznać, że art. 8(4) RIPA nie był wystarczająco przewidywalny, co przełożyło się na naruszenie art. 8 EKPCz. (§ 426–427)

• Z art. 10 EKPCz wynika konieczność ochrony źródeł dziennikarskich. W orzecznictwie przyjęto, że przeszukanie domu dziennikarza w celu ujawnienia źródła dziennikarskiego stanowi głęboką ingerencję w wolność słowa, która może być usprawiedliwiona wyłącznie interesem publicznym. Wówczas istotna jest kontrola dopuszczalności takiego przeszukania przez sąd lub inny niezależny organ. (§ 442–445) Te same zasady należy odnieść do przechwytywania danych, jeżeli służby używają selektorów związanych z dziennikarzami. Wówczas należy uzyskać uprzednią zgodę sądu lub niezależnego organu, który wyważy interes publiczny z wymogami ochrony źródeł dziennikarskich. Podobna zgoda jest wymagana, jeżeli służby wprawdzie nie miały intencji przechwytywania danych dziennikarskich, ale i tak tego dokonały. (§ 448–450) W realiach sprawy nie istniała konieczność uzyskania zgody sądu lub niezależnego organu na używanie selektorów związanych z dziennikarzami, a także na użycie danych dziennikarskich już uzyskanych. Wraz z wadami RIPA zidentyfikowanymi na gruncie art. 8 EKPCz, zaważyło to na naruszeniu także art. 10 EKPCz. (§ 451–458)

Zagadnienie uzyskiwania danych od obcych służb wywiadowczych

• Ze względu na art. 1 EKPCz państwo-strona Konwencji co do zasady nie może odpowiadać za ingerencję w postaci przechwytywania danych przez obce służby. Ingerencja w art. 8 EKPCz zachodzi jedynie wówczas, gdy służby państwa-strony Konwencji występują o dane do państwa trzeciego, a następnie przechowują i analizują otrzymane informacje. (§ 495–496) Z drugiej strony konieczne jest, aby warunki wystąpienia o przechwycone dane z państwa trzeciego były jasno określone przez prawo. Podstawa prawna dla takiego wystąpienia powinna być dostępna i przewidywalna. Po otrzymaniu takich danych, państwo-stronę obowiązują takie same zasady, jakie obowiązywałyby, gdyby państwo-strona samodzielnie przechwyciło dane (m.in. kontrola niezależnego organu). (§ 497–499)

• Reguły uzyskiwania informacji od amerykańskich służb wywiadowczych zostały określone w rozdziale 12 kodeksu praktyk w zakresie kontroli operacyjnej. Ponieważ te kodeksy praktyk musiały być uwzględniane zarówno przez służby, jak i przez sądy, nie ma wątpliwości, że istniała podstawa prawna dla uzyskiwania danych wywiadowczych z USA. Ściśle określono przesłanki wystąpienia o dane. Istniały także wystarczające gwarancje odnoszące się do przechowywania i korzystania z uzyskanych od USA danych. Prowadzono także zewnętrzny nadzór nad działalnością służb w tym zakresie. W konsekwencji więc nie doszło do naruszenia art. 8 i 10 EKPCz. (§ 500–514)

Zagadnienie uzyskiwania danych od przedsiębiorców telekomunikacyjnych (rozdział II RIPA)

• Skoro sąd brytyjski uznał, że tego typu przepisy są sprzeczne z prawem Unii Europejskiej ze względu na zbyt szeroki krąg sytuacji uzasadniających uzyskiwanie danych oraz brak konieczności uzyskiwania zgody sądu, trudno uznać – wobec prymatu prawa UE – że istniała podstawa prawna w prawie krajowym dla uzyskiwania danych od przedsiębiorców telekomunikacyjnych. Wobec braku spełnienia wymogu legalności ingerencji doszło do naruszenia art. 8 i 10 EKPCz w tym zakresie. (§ 517–528)

Przechwytywanie danych przez służby specjalne (art. 8(4) RIPA)

Art. 1(1) RIPA (ustawa ta obowiązywała do 2018 r., tj. także w chwili złożenia skargi do ETPCz przez Skarżących) przewidywał, że jakiekolwiek przechwytywanie danych telekomunikacyjnych, o ile odbywa się bez nakazu ministra spraw wewnętrznych (Secretary of State for the Home Department), jest bezprawne. [§ 61] Art. 5(2) dopuszczał wydawanie przez ministra nakazów, o ile uzna on, że jest to konieczne ze względów bezpieczeństwa narodowego (w tym ekonomicznego) lub wykrywania lub zapobiegania poważnemu przestępstwu (definicja poważnego przestępstwa jest dalej określona w art. 81 RIPA). Nakaz musiał być proporcjonalny i nie mógł być wydany, jeżeli informację można było uzyskać za pomocą innych środków. [§ 62] Nakaz mógł być wydany tylko na wniosek dyrektorów MI5, MI6 (wywiad i kontrwywiad) lub GCHQ (wyspecjalizowanej agencji wywiadowczej ds. uzyskiwania danych telekomunikacyjnych). [§ 65] Nakazy były wydawane czasowo (3 lub 6 miesięcy, w zależności od przyczyny wydania), ale mogły być przedłużane przez ministra spraw wewnętrznych. [§ 67] Nakaz mógł być ukierunkowany (art. 8(1) RIPA) lub nieukierunkowany (art. 8(4) RIPA). [§ 66] Nakaz nieukierunkowany służył przechwytywaniu danych „zewnętrznych”, tj. wysyłanych z lub przysyłanych do Zjednoczonego Królestwa (w zasadzie jednak obejmowało to bardzo szeroki zakres informacji, także w odniesieniu do mediów społecznościowych z siedzibami w USA), a zapoznanie się z konkretnym materiałem (wyselekcjonowanym przez algorytm) było możliwe jedynie za zgodą ministra. [§ 72–75] Na ministra spraw wewnętrznych nałożono obowiązek podjęcia takich działań, aby informacje uzyskane z przechwytywania danych były dostępne i udostępniane możliwie niewielkiej liczbie osób, a następnie – jeżeli nie były wykorzystane – możliwie szybko niszczone (art. 15(2–3) RIPA), chociaż obowiązywały wyjątki (np. przekazanie informacji innym służbom wywiadowczym, potencjalna użyteczność zgromadzonych informacji w późniejszym okresie). Wykluczono możliwość z korzystania z informacji wywiadowczych w ramach postępowań sądowych. [§ 78–83] Art. 71 RIPA zobowiązał ministra spraw wewnętrznych do określenia kodeksów praktyk w zakresie kontroli operacyjnej, wiążących dla funkcjonariuszy służb oraz sądów (odpowiednik polskiego rozporządzenia wykonawczego). [§ 93–95] W kodeksie praktyk w zakresie kontroli operacyjnej dookreślono m.in. organy właściwe do wystąpienia o nakaz, zasady proporcjonalności i konieczności, okres ważności nakazu, postępowanie ze specjalnymi kategoriami informacji (w szczególności dziennikarskimi), zasady postępowania w przypadku nakazów nieukierunkowanych (sposób wnioskowania o nakaz, dokumentację, modyfikację i odnowienie nakazu, uzyskiwanie danych za pomocą selektorów), ograniczenia w dostępie i rozpowszechnianiu informacji, a także sposób niszczenia uzyskanych danych. [§ 96]

Uzyskiwanie danych od obcych (amerykańskich) służb wywiadowczych

Wymiana informacji między amerykańskimi i brytyjskimi służbami wywiadowczymi odbywała się głównie na podstawie porozumienia z 1946 r. [§ 105] Przepisy ogólne o MI5, MI6 i GCHQ przewidywały, że służby te nie powinny uzyskiwać i ujawniać informacji innych niż konieczne do prawidłowego wypełniania ich funkcji. [§ 106–112] Po postępowaniu krajowym przeprowadzonym przez Skarżących, do kodeksu praktyk w zakresie kontroli operacyjnej dodano rozdział odnoszący się do wniosków do obcych służb. Takie wnioski mogły wystawiać jedynie MI5, MI6 i GCHQ, podlegając tym samym zasadom, co w przypadku uzyskiwania danych w ramach własnych działań na podstawie RIPA. [§ 116]

Uzyskiwanie danych od przedsiębiorców telekomunikacyjnych (rozdział II RIPA)

Uzyskiwać dane od przedsiębiorców telekomunikacyjnych mogły nie tylko MI5, MI6 i GCHQ, ale także policja, narodowa agencja ds. przestępczości, służba celno-skarbowa oraz każdy organ władzy publicznej wyznaczony przez ministra spraw wewnętrznych. Nakaz mógł być wystawiony zarówno przez kierownika danej agencji, jak i upoważnionych przez niego pracowników (art. 22 RIPA). [§ 118] Art. 22(2) RIPA przewidywał ograniczoną liczbę celów, które uzasadniały uzyskiwanie danych od przedsiębiorców telekomunikacyjnych (bezpieczeństwo narodowe, porządek ekonomiczny, dobrobyt, zapobieganie przestępstwom lub zakłóceniom porządku, ochrona zdrowia publicznego, wyliczenie lub wyegzekwowanie zobowiązania podatkowego, zapobieganie śmierci lub naruszeniu zdrowia, inne cele określone przez ministra spraw wewnętrznych). [§ 119] Uzyskanie danych w taki sposób powinno być proporcjonalne do zamierzonego celu. [§ 120] W postępowaniu krajowym, kontrolującym zgodność z prawem Unii Europejskiej późniejszych (acz tożsamych) przepisów, rząd przyznał, że brak ograniczenia przesłanek do zapobiegania poważnym przestępstwom i brak uprzedniej kontroli sądowej jest niezgodny z prawem UE. [§ 190]

Inne zagadnienia

Trybunał ds. Uprawnień Śledczych – stosownie do art. 65(1) RIPA – był uprawniony do rozpatrywania skarg na działalność agencji wywiadowczych. [§ 122] Trybunał mógł – w razie stwierdzenia bezprawności kontroli operacyjnej – przyznać odszkodowanie oraz zarządzić zniszczenie wszelkich materiałów uzyskanych z takiej kontroli. [§ 126] Chociaż Trybunał był organem quasi-sądowym, to składał się z członków sądowych (sędziów) i niesądowych (wybieranych w drodze konkursu i powoływanych po przeprowadzeniu procedury rządowej). [§ 123] Trybunał nie miał prawa do stwierdzania niezgodności określonych przepisów z EKPCz na podstawie Human Rights Act tak jak sądy powszechne. [§ 124] Minister spraw wewnętrznych określał przepisy proceduralne obowiązujące Trybunał. [§ 127–131]

Działalność służb wywiadowczych podlegała także kontroli ze strony komisarza ds. kontroli operacyjnej (powoływanego przez premiera, ale niezależnego od władzy wykonawczej) o szerokich kompetencjach nadzorczych. [§ 139–141] W wyniku działalności komisji parlamentarnych, krytykujących w kilku raportach brak transparentności zarówno przepisów, jak i efektywności kontroli nad służbami, RIPA w 2016 r. uchylono i zastąpiono nową ustawą (obowiązującą w przeważającej części od 2018 r.). [§ 139–155, 183–190]

W uzasadnieniu orzeczenia znajduje się także obszerny przegląd prawa i orzecznictwa międzynarodowego (w tym także unijnego). [§ 191–241] ETPCz dokonuje także analizy porównawczej, ze szczególnym uwzględnieniem orzeczenia FTK (1 BvR 2835/17) oraz sądu apelacyjnego w Hadze. [§ 242–265]

Inwigilacja; kontrola operacyjna; przechwytywanie danych; przedsiębiorcy telekomunikacyjni; legalność; konieczność

http://hudoc.echr.coe.int/eng?i=001-210077

Podobna sprawa przeciwko Polsce – Pietrzak v. Polska (72038/17, 25237/18) – została zakomunikowana Rzeczypospolitej Polskiej.