Nowe zasady dla producentów oprogramowania szpiegowskiego. Polska popiera inicjatywę

Zaawansowane narzędzia szpiegowskie pozwalają przejmować dane z telefonów, śledzić ich właścicieli i uzyskiwać dostęp do prywatnej korespondencji – zazwyczaj bez wiedzy i bez zgody użytkowników.

Choć mogą pomagać organom ścigania w zwalczaniu przestępczości, coraz większe obawy budzi ich wykorzystywanie do nielegalnej inwigilacji np. dziennikarzy, polityków, prokuratorów czy prawników. Problem dotyczy też Polski, gdzie kontrowersje wywołał izraelski system Pegasus.

Ograniczeniu tych zagrożeń ma służyć Pall Mall Process – międzynarodowa inicjatywa zapoczątkowana w lutym 2024 r. przez Wielką Brytanię i Francję. Jej celem jest wypracowanie wspólnych zasad, przeciwdziałając nadużyciom komercyjnych narzędzi cyberinwigilacji.

11 listopada jej uwagę skierowano na źródło problemu – rynek. Podczas konferencji w Paryżu przedstawiono wytyczne dla firm zajmujących się ich opracowywaniem i sprzedażą. Dokument poparło 14 państw, w tym Polska, Niemcy, Stany Zjednoczone i Japonia.

Zasady dla producentów oprogramowania

Na „mocy” zaleceń, przedsiębiorstwa mają ponosić większą odpowiedzialność za to, komu udostępniają swoje produkty i w jaki sposób mogą one zostać wykorzystane.

Jednym z najważniejszych założeń jest dokładniejsze sprawdzanie potencjalnych klientów. Firmy powinny oceniać, czy oferowane przez nie rozwiązania nie posłużą chociażby do represjonowania obywateli, naruszania prywatności lub innych praw człowieka.

Weryfikacja ma przy tym obejmować też pośredników i podwykonawców uczestniczących w sprzedaży.

Zapewnienie, że odpowiednie operacje handlowe zostaną zawieszone, a sprzedaż, transfer i wsparcie nie będą kontynuowane, gdy wiarygodna i uzasadniona ocena ryzyka wykaże poważne zagrożenie nieodpowiedzialnym wykorzystaniem.
Pall Mall Process: Wytyczne branżowe

W przypadku stwierdzenia poważnego ryzyka nadużyć przedsiębiorstwa powinny wstrzymać dostarczanie produktów lub zakończyć współpracę z odbiorcą. Podczas sprzedaży transgranicznych muszą też przestrzegać obowiązujących przepisów, a w określonych przypadkach wymagać zgody władz.

Wytyczne zalecają też ściślejszą kontrolę nad dostępem pracowników do wrażliwych technologii.

Państwa również mają obowiązki

Nowy dokument stanowi rozwinięcie zasad przedstawionych w kwietniu 2025 r., kiedy to uczestnicy inicjatywy uzgodnili kodeks dobrych praktyk dla państw.

Zakłada on skuteczniejszy nadzór nad zakupem i wykorzystywaniem narzędzi cyberinwigilacji przez instytucje publiczne. Władze powinny również zwracać większą uwagę na działalność dostawców i ograniczać możliwość sprzedaży zaawansowanych systemów podmiotom, które mogłyby używać ich do łamania praw człowieka.

Częścią porozumienia jest też zapewnienie pomocy ofiarom nieuprawnionej inwigilacji  i umożliwienie im dochodzenia swoich praw.

Czy porozumienie powstrzyma nadużycia?

Przedstawione dokumenty nie ustanawiają nowych, prawnie wiążących obowiązków. Ich skuteczność będzie więc zależeć przede wszystkim od działań podejmowanych przez poszczególne państwa i przedsiębiorstwa.

Na ograniczenia inicjatywy zwracają uwagę też organizacje społeczne. Business & Human Rights Resource Centre przytacza opinie ekspertów podkreślających, że bez niezależnego monitorowania i publicznego informowania o postępach trudno będzie ocenić rzeczywisty wpływ porozumienia na działalność branży.