Jak e-Evidence zmienia europejskie sprawy karne

Jeszcze nie tak dawno temu dowód w postępowaniu karnym „miał” konkretne miejsce: dokument schowany w szufladzie, odcisk palca na klamce, a buta na podłodze – ślady można było zabezpieczyć tam, gdzie doszło do przestępstwa. Cyfryzacja niemal całkowicie wywróciła tę logikę. Dziś praktycznie nie ma sprawy bez cyfrowego dowodu (e-mail, wiadomość na komunikatorze, plik zapisany w chmurze). Dane te – o ile w ogóle da się jednoznacznie wskazać, gdzie są przechowywane – mogą znajdować się na serwerach w innych państwach.

Komisja Europejska już w 2018 r., zwracała uwagę, że uzyskanie do nich dostępu mogło zajmować miesiące, a w tym czasie można było je po prostu usunąć. 8 lat później (18 sierpnia 2026) weszło w życie e-Evidence – pakiet przepisów, który obniżył barierę proceduralnego dostępu do transgranicznych danych z prawie roku do 10 dni.

Dowód cyfrowy jest wyjątkowo nietrwały. Jego znaczenie często liczy się w godzinach, a nie miesiącach
prof. dr hab. inż. Wojciech Górecki, AGH

Gdy dowód był za granicą

Przed wprowadzeniem e-Evidence organy ścigania, musiały korzystać przede wszystkim z mechanizmów współpracy między państwami.

W Unii Europejskiej służył do tego Europejski Nakaz Dochodzeniowy (END/EIO): prokurator lub sąd z jednego państwa zwracał się do właściwego organu w innym kraju UE, dopiero ten wykonywał żądaną czynność – na przykład występował do lokalnego dostawcy o dane. Proces ten trwał do 120 dni.

W świecie, w którym infrastruktura, sprawca, ofiara i dostawca usług bardzo często znajdują się w różnych państwach, mechanizmy współpracy organów ścigania również muszą działać z prędkością odpowiadającą środowisku cyfrowemu.
prof. dr hab. inż. Wojciech Górecki, AGH

Poza tym systemem stosowano też klasyczną wzajemną pomoc prawną (MLA), opartą na formalnych wnioskach przekazywanych między państwami na podstawie umów międzynarodowych. Ta procedura trwała średnio około 10 miesięcy.

Rozporządzenie ws. nakazów wydania i zabezpieczenia

Rozporządzenie wchodzące w E-Evidence wprowadza dwa podstawowe narzędzia.

Pierwsze to Europejski Nakaz Wydania Dowodów, dzięki któremu organ prowadzący sprawę karną w jednym kraju UE może zażądać od usługodawcy (np. operatora komunikatora, chmury czy serwisu społecznościowego) przekazania konkretnych danych elektronicznych. Nie ma przy tym większego znaczenia, w jakim kraju fizycznie znajdują się serwery. Firma ma na to, co do zasady 10 dni,  w nagłych przypadkach, (np. gdy istnieje bezpośrednie zagrożenie życia) – 8 godzin.

Drugie narzędzie to Europejski Nakaz Zabezpieczenia Dowodów (EPOC). Działa ono zapobiegawczo – zanim organy zdążą formalnie wystąpić o wydanie konkretnych informacji, firma ma je na 60 dni „zamrozić”, uniemożliwiając tym samym ich usunięcie.

Jeśli ta je zignoruje, sprawa może trafić do organów państwa, w którym nakaz ma być wykonany, a usługodawcy może grozić nawet do 2 proc. jego rocznego światowego obrotu. 

Nakazy i odpowiedzi na nie mają być przekazywane za pośrednictwem specjalnego, bezpiecznego systemu informatycznego łączącego właściwe organy z usługodawcami.

Dyrektywa o przedstawicielach e-Evidence

Żeby system e-Evidence mógł działać w praktyce, sam nakaz musi mieć do kogo trafić. Dlatego obok rozporządzenia przyjęto także dyrektywę, która zobowiązuje usługodawców oferujących swoje usługi w UE do posiadania w Unii wyznaczonej siedziby albo przedstawiciela prawnego.

„Oferowanie usług w UE” wymaga przy tym istotnego powiązania ze wspólnotą, np. znacznej liczby użytkowników albo świadomego kierowania działalności do danego państwa – przez język, walutę, lokalny App Store, reklamy czy obsługę klientów.

Problem pojawia się jednak wtedy, gdy dostawca całkowicie ignoruje ten wymóg, nie ustanawiając ani przedstawiciela, ani jednostki (na co miał czas do 18 sierpnia). W takiej sytuacji firma narusza wtedy prawo i może podlegać sankcjom, a organy są zmuszone sięgnąć po opisane wcześniej wolniejsze mechanizmy współpracy międzynarodowej.

Obawy o prywatność

Nowe przepisy wzbudziły obawy, że e-Evidence otworzy organom ścigania łatwy dostęp do prywatnych rozmów Europejczyków.

Rozporządzenie wprowadza jednak kilka poziomów zabezpieczeń, a zakres udostępnionych informacji zależy przede wszystkim od rodzaju żądanych informacji. Faktycznie, dane abonenta, jak informacje przypisane do konta, czy te potrzebne do ustalenia, kto korzystał z danego adresu IP, mogą być żądane w sprawie o każde przestępstwo. Nakaz ten może wydać również prokurator.

Znacznie wyższy próg obowiązuje jednak przy bardziej wrażliwych informacjach jak same treści elektronicznej korespondencji i dane o ruchu (np. kiedy i z kim użytkownik się komunikował). Ten nakaz musi z kolei zostać wydany lub zatwierdzony przez sędziego, sąd albo sędziego śledczego (art. 4 ust. 2) i co do zasady może dotyczyć jedynie przestępstw zagrożonych maksymalną karą co najmniej trzech lat pozbawienia wolności (art. 5 ust. 4) lub tych popełnionych z wykorzystaniem systemu informatycznego.

Dodatkową kontrolę przewidują art. 8 i 12 rozporządzenia. Jeśli jedno państwo UE chce uzyskać wrażliwe dane o komunikacji osoby mieszkającej w innym kraju albo sama sprawa nie jest wyraźnie związana z państwem wydającym nakaz, o żądaniu informowany jest też właściwy organ drugiego państwa, który w ciągu 10 dni (w sytuacji nagłej 96 godzin) może się sprzeciwić wykonaniu nakazu. Może to zrobić m.in w przypadkach gdy jego realizacja prowadziłaby do oczywistego naruszenia praw podstawowych. „Dopóki organ wykonujący się nie wypowie albo termin nie upłynie, dane nie są przekazywane jest to realny, a nie iluzoryczny hamulec.” – uspokaja prof. dr hab. inż. Wojciech Górecki z Akademii Górniczo-Hutniczej.

Przepisy przewidują też wyjątki dla określonych kategorii czynów, m.in. cyberprzestępczości, wykorzystywania seksualnego dzieci czy terroryzmu.

Odszyfrowywanie danych

E-Evidence nie zmienia też sposobu działania samych komunikatorów. Rozporządzenie dotyczy danych, które usługodawca już posiada w chwili otrzymania nakazu (art. 3 pkt 8 oraz motyw 19). Ten sam motyw wyjaśnia, że przepisy nie wprowadzają ogólnego obowiązku przechowywania danych ani nie pozwalają na przechwytywanie przyszłej komunikacji.

Z kolei motyw 20 wprost stwierdza, że rozporządzenie nie nakłada na dostawców obowiązku odszyfrowywania danych.