Wykaz DNO to publiczna lista numerów telefonicznych, które są dedykowane wyłącznie do odbierania połączeń głosowych. Numerów z tego wykazu nie można używać do inicjowania połączeń wychodzących. Jest to innowacyjne rozwiązanie, które ma na celu zapobieganie nadużyciom w telekomunikacji poprzez blokowanie połączeń wychodzących z tych numerów. Wykaz ten działa na zasadzie zapobiegania, uniemożliwiając przedsiębiorstwom telekomunikacyjnym realizację połączeń wychodzących z numerów znajdujących się na liście DNO.

Podmioty wpisane do wykazu DNO zobowiązane są do zapewnienia, że zarejestrowane numery nie będą wykorzystywane do realizacji połączeń wychodzących. Jest to istotne, ponieważ przedsiębiorcy telekomunikacyjni mają obowiązek blokowania wszelkich prób inicjowania połączeń z tych numerów nie później niż w terminie 3 dni od dnia wpisu numeru w wykazie. Działanie to ma na celu ochronę przed nadużyciami, takimi jak oszustwa telekomunikacyjne, które mogłyby wykorzystywać te numery do wprowadzania w błąd odbiorców połączeń. Przedsiębiorca telekomunikacyjny zaprzestaje blokowania połączeń przychodzących do jego sieci z wykorzystaniem numeru wpisanego w wykazie w terminie 3 dni od dnia wykreślenia numeru z wykazu.

Proces wpisu do wykazu DNO jest szczegółowo opisany w ustawie o zwalczaniu nadużyć w komunikacji elektronicznej i wymaga spełnienia określonych kryteriów oraz procedur. Urząd Komunikacji Elektronicznej (UKE) jako regulator w tym zakresie, udostępnia odpowiednie formularze i instrukcje, jak uzyskać wpis, dokonać zmiany lub wykreślenie z wykazu. Wniosek o wpis do wykazu DNO - zatytułowany „Zgłoszenie numerów służących wyłącznie do odbierania połączeń głosowych”  dostępny jest w dziale „Biznes” w usłudze PUE UKE. Wnioski składane na innych formularzach lub w innej formie nie będą procedowane.

Żądania przekazania danych retencyjnych koniecznie trzeba sprawdzać pod względem ich zgodności z prawem i poprawności merytorycznej, zacznijmy od początku.

Sprawdzenie danych przedsiębiorcy telekomunikacyjnego. Po otrzymaniu żądania należy sprawdzić, czy zostało ono skierowane właściwie tzn. czy nazwa przedsiębiorcy i adres jest zgodny z wpisem do CEiDG, KRS.

Najwięcej błędów dotyczy spółdzielni mieszkaniowych, gdyż bardzo często pytania kierowane są do telewizji kablowej, która jest komórką organizacyjną spółdzielni i samodzielnie nie posiada osobowości prawnej. Podobna sytuacja jest w przypadku, gdy przedsiębiorca posługuje się inną nazwą handlową aniżeli wpis do rejestru, np. kwiaciarnia „AAA” jest przedsiębiorcą telekomunikacyjnym, a Internet sprzedaje pod marką handlową Internet com.

Udzielenie informacji w przypadku, gdy niewłaściwie oznaczono przedsiębiorcę telekomunikacyjnego może mieć przykre skutki, gdyż sąd skaże winnego, a ten nawet z więzienia założy sprawę o odszkodowanie, w związku z naruszeniem tajemnicy telekomunikacyjnej, gdyż udzieliliśmy informacji nie będąc pytani, bo żądanie było skierowane do kogoś innego.

W przypadku takich błędów należy wezwać organ do poprawienia żądania.

Bardzo często wykupione przez nas numery lub adresy IP są udostępniane innym przedsiębiorcom.

Również w tym wypadku powinniśmy poinformować organ, że adres lub numer jest wykorzystywany przez inny podmiot i koniecznie wskazać ten podmiot podając jego nazwą i identyfikator NIP.

Osoba taka musi okazać upoważnienie wydane przez właściwy organ np. Komendanta Głównego Policji, komendanta wojewódzkiego Policji, Szefa ABW, Szefa CBA itp.

Koniecznym jest sprawdzenie upoważnienia czy uprawnia funkcjonariusza do żądania danych retencyjnych np. w upoważnieniu funkcjonariusza policji musi być wskazane prawo do żądania danych opisanych w art. 20c ustawy o policji, gdyż żądania z art. 15 tejże ustawy dotyczą danych innych aniżeli dane retencyjne, odpowiednio też w przypadku ABW w upoważnieniu powinno być zapisane, iż funkcjonariusz może żądać danych o których mowa w art. 28 ustawy o ABW oraz AW, gdyż dane określone w art. 24  nie dotyczą danych retencyjnych i tak jest w przypadku wszystkich uprawnionych podmiotów.

Są to subtelne różnice, jednakże ich pominięcie może skutkować również ukaraniem za udzielenie informacji osobie nieupoważnionej.

Pamiętajmy, iż art. 15 ustawy o policji czy też art. 24 ustawy o ABW oraz AW dotyczą danych osobowych innych aniżeli dane retencyjne, które są danymi szczególnymi opisanymi w innych jednostkach ustaw kompetencyjnych.

Jeśli stosujemy adresy IP statyczne to i tak przed udzieleniem odpowiedzi musimy sprawdzić w danych retencyjnych czy połączenie w określonym czasie było realizowane.

Bardzo częstym błędem jest odpisanie, że adres należy do klienta X bez sprawdzenia czy było połączenie we wskazanym czasie.

Tak udzielona odpowiedź zostanie odczytana jako potwierdzenie faktu realizacji połączeni. Jeśli więc nie ma połączenia a mamy statyczne adresy musimy to jednoznacznie wskazać, że „adres jest przydzielony klientowi X niemniej w systemach przedsiębiorcy nie odnotowano połączenia, nieudanej próby połączenia w czasie wskazanym w żądaniu”.

Obowiązki retencyjne są naprawdę stosunkowo proste do realizacji, ale wymagają skrupulatności i oczywiście sumienności.

W tak krótkim artykule trudno szczegółowo opisać wszystkie przypadki więc skupiłem się na najczęstszych zdarzeniach, z którymi spotkaliśmy się udzielając konsultacji naszym klientom. W niedalekiej przyszłości zorganizujemy szkolenie dla osób praktycznie wykonujące powyższe obowiązki, w sposób bardziej szczegółowy i poparty przykładami, wyjaśniając poszczególne etapy przygotowania odpowiedzi na żądania sądów, prokuratorów oraz uprawnionych podmiotów.

To właśnie o nich mówiliśmy na webinarium w ubiegłym tygodniu. Temat okazał się ważny i ciekawy, bo na 60 zarejestrowanych osób 50 wzięło udział w wydarzeniu i zostało do końca, czyli do odpowiedzi na pojawiające się w trakcie pytania. Widzimy, że takie spotkania są potrzebne i na pewno będziemy organizować kolejne wydarzenia, także śledźcie nasz newsletter oraz nasze media społecznościowe i zapraszamy do kontaktu.

Idą święta, więc dorzucamy jeszcze jedną dobrą wiadomość. Jeżeli jesteście zainteresowani zakupem i wdrożeniem przygotowanej przez nas dokumentacji, co umożliwi sprawne wywiązanie się z obowiązków wynikających z zapisów rozporządzenia, zostawcie dane kontaktowe w poniższym formularzu.

Kilka słów o wybranych obowiązkach mogących generować koszty.

Obowiązki związane z opracowaniem planu działań w sytuacjach szczególnych zagrożeń (art. 176a pt) generują jednorazowy koszt od kilkuset do nawet kilku tysięcy zł, powtarzający się co trzy lata.

Koszt ten związany jest z opracowaniem tego dokumentu osobiście przez właściciela lub zleceniem jego opracowania podmiotowi zewnętrznemu.

Niemniej koniecznym jest wskazanie, że systematycznie zmniejsza się grono przedsiębiorców obowiązanych do posiadania planu działań, podnoszone są progi przychodu podmiotu obowiązanego w chwili obecnej 4 mln. zł. W projekcie jest 10 mln. Zł.

Również koszt udostępnienia danych transmisyjnych (art. 180a pt) jest stosunkowo niski, wiąże się wyłącznie z koniecznością zakupu odpowiedniej powierzchni dyskowej oraz właściwą konfiguracją wykorzystywanych urządzeń. Ponadto, należy wyznaczyć jednego,  dwóch pracowników, którzy z posiadanej bazy będą w stanie wyszukać i przygotować do udostępnienia wymagane dane.

Najpoważniejszy dla przedsiębiorcy telekomunikacyjnego wydatek związany jest z zapewnieniem warunków dostępu i utrwalania, który został opisany w art. 179 ust. 3 pt. Z obowiązkiem tym nierozłącznie wiąże się konieczność zapewnienia ochrony informacji niejawnych.[1]

Należy przyjąć, iż przedsiębiorca musi wydać ponad 40 tysięcy złotych przy iii stopniu, ponad 100 tysięcy złotych przy ii stopniu, ponad 200 tysięcy złotych przy i stopniu (górna granica niemożliwa jest do określenia) i wydatek ten jest powtarzalny co 5 lat, a ponadto musi przewidzieć stały wydatek związany z zatrudnieniem pionu ochrony, tj. min. pełnomocnika ochrony i kierownika kancelarii tajnej.

Jak zostało określone w doktrynie, obowiązek wynikający z art. 179 ust. 3 pt jest „podstawowym zadaniem przedsiębiorców”[2] z zakresu obronności i bezpieczeństwa państwa oraz bezpieczeństwa i porządku publicznego.

Obowiązek ten, polega na stworzeniu warunków technicznych i organizacyjnych umożliwiających zapoznanie się, przez uprawnionych funkcjonariuszy i jednoczesne zarejestrowanie treści indywidualnych komunikatów i danych stowarzyszonych, równocześnie z powstaniem i transmisją tych danych i treści w sieci, dalej „podsłuch”.

Pt zobowiązuje przedsiębiorców telekomunikacyjnych do przygotowania sieci w ten sposób, aby wszystkie uprawnione podmioty równocześnie i niezależnie od siebie mogły prowadzić kontrolę korespondencji.

Co to oznacza dla przedsiębiorcy telekomunikacyjnego?

W rzeczywistości przedsiębiorca telekomunikacyjny jest obowiązany przygotować co najmniej 10 stanowisk (9 dla uprawnionych podmiotów i jedno dla prokuratora lub sądu), które umożliwią funkcjonariuszom zapoznanie się w czasie rzeczywistym z treścią rozmów telefonicznych lub komunikatów wysyłanych i odbieranych na urządzeniach końcowych klienta wskazanego w postanowieniu zarządzającym prowadzenie czynności operacyjno – rozpoznawcze. Dodatkowo, sprzęt musi mieć możliwość utrwalenia słuchanych/oglądanych treści oraz po zakończeniu przekazu danych stowarzyszonych, tych samych, które są zatrzymywane w ramach obowiązków 180a i 180d pt. Ponadto, stanowisko realizujące zadania na rzecz sądu lub prokuratora (kontrola procesowa), w przypadku gdy przedsiębiorca jest wskazany jako podmiot uprawniony, w sposób automatyczny bez możliwości zapoznania się z treścią komunikatów przez pracownika przedsiębiorcy, powinno rejestrować treści indywidualnych komunikatów i dane stowarzyszone. Jednocześnie przedsiębiorca telekomunikacyjny obowiązany jest rejestrować fakt prowadzenia kontroli operacyjnych i procesowych.[3]

Stanowiska te muszą mieć dedykowane łącza telekomunikacyjne, zasilanie energetyczne oraz sprzęt przeznaczony wyłącznie do realizacji tego celu.

Jak wcześniej wskazano na czynności związane z podsłuchami rozciąga się obowiązek zapewnienia ochrony informacjom niejawnym.

Jednakże należy podkreślić, że obowiązek spełnienia wymagań z zakresu ochrony informacji niejawnych, nie jest dodatkowym zadaniem wynikającym z pt, lecz jest to nierozłączna część obowiązku zapewnienia uprawnionym podmiotom warunków prowadzenia podsłuchów.

Bardzo często kwestionowana jest przez przedsiębiorców telekomunikacyjnych konieczność posiadania właściwego świadectwa bezpieczeństwa przemysłowego, lecz obowiązek ten został nałożony na przedsiębiorców telekomunikacyjnych w związku z tym, że fakt prowadzenia podsłuchów nie może być znany osobom postronnym.

Musimy mieć świadomość, że treści indywidualnych komunikatów (rozmowa telefoniczna, transmisja danych itp.), ze swej natury są jawne, oczywiście chronione jako tajemnica telekomunikacyjna (art. 159 ust. 1 pkt 2 pt), a dopiero połączenie ich z informacją o tym, jaka służba, w jakim okresie, interesuje się konkretnym abonentem nadaje tym treściom charakter informacji niejawnej.

Art. 179 ust. 4a pt przewiduje możliwość realizacji obowiązku zapewnienia warunków dostępu i utrwalania również, jako alternatywne rozwiązanie, z wykorzystaniem interfejsu.

Interfejs należy rozumieć jako rozbudowaną bramkę dostępową do sieci przedsiębiorcy, w ramach której przedsiębiorca umożliwia samodzielne, spoza jego siedziby, dedykowanie zakończeń sieci, które mają być słuchane. Oczywiście do tego koniecznym jest zestawienie bezpiecznego dedykowanego kanału łączności pomiędzy przedsiębiorcą, a miejscem wykonywania Podsłuchu oraz konfigurację systemu w ten sposób aby dostęp do niego był możliwy po wprowadzeniu bezpiecznych metod uwierzytelniania. Wszystkie elementy sieci, urządzenia i programy wchodzące w skład interfejsu muszą zostać uzgodnione z odpowiednimi służbami. Interfejs jest najdroższym (nawet kilkukrotnie w porównaniu do opisanej wcześniej metody) sposobem realizacji zadania określonego w art. 179 ust. 3 pt i jak wskazuje praktyka opłacalnym tylko dla kilku największych przedsiębiorców.

Nowelizacja pt wprowadzona art. 9 ustawy z dnia 15 stycznia 2016 r. O zmianie ustawy o policji oraz niektórych innych ustaw (dz. U. Z 2016 r. Poz. 147), wyłącza z grona podmiotów uprawnionych do realizacji podsłuchów z wykorzystaniem interfejsu, przedsiębiorców telekomunikacyjnych będących mikroprzedsiębiorcami albo małymi przedsiębiorcami w rozumieniu ustawy z dnia 2 lipca 2004 r. O swobodzie działalności gospodarczej, w rzeczywistości jest to zapis potwierdzający, iż małe podmioty nie są w stanie podołać obciążeniom finansowym związanym z budową i utrzymaniem interfejsu.

Po zapoznaniu się z faktycznymi kosztami związanymi z realizacją obowiązków obronnych przedsiębiorca, przed rozpoczęciem jakichkolwiek inwestycji, może również rozważyć możliwość powierzenia obowiązków podmiotowi zewnętrznemu. „outsourcing” zazwyczaj obniża koszty i niweluje ryzyko kary pieniężnej, przy jednoczesnym zagwarantowaniu właściwej realizacji istniejących obowiązków.

Należy pamiętać, iż powierzenie obowiązków nie może w żaden sposób być ograniczone tylko do części obowiązku. Powyższe wynika bezpośrednio z doktryny „… z ust. 7 wynika, że można powierzyć wykonywanie obowiązków z ust. 3 innemu przedsiębiorcy telekomunikacyjnemu, co oznacza, że całość tych obowiązków w zakresie obronności i bezpieczeństwa powinna być powierzona jednemu przedsiębiorcy.”[4]

Zatem rozważając oferty outsourcingu należy zwrócić uwagę na kompleksowość oferowanej usługi tzn., czy zleceniobiorca deklaruje chęć wyrywkowego przyjęcia części obowiązków  np. Związanych z ochroną informacji niejawnych (kancelaria tajna) lub w zakresie administrowania stanowiskami do podsłuchów, czy jednak całości.

Każdy przedsiębiorca musi mieć świadomość, że powierzenie nie zwalnia powierzającego z odpowiedzialności za nienależyte wypełnianie obowiązków (art. 179 ust. 7 zdanie 2 pt).

Jednocześnie w przypadku podpisania umowy powierzenia klienci podmiotu zlecającego, w ramach kontroli operacyjnej, przez służby realizujące tą kontrolę postrzegani są jako klienci podmiotu przyjmującego zlecenie.

Zatem jeśli nie jesteśmy jedynym klientem tego podmiotu należałoby sprawdzić, ilu abonentów już posiada (suma abonentów, którym świadczy usługi oraz abonentów wszystkich podmiotów, z którymi podpisał umowę powierzenia jako strona przyjmująca zlecenie). Dopiero tę liczbę odnosimy do posiadanego przez zleceniobiorcę stopnia świadectwa bezpieczeństwa przemysłowego.

Oczywiście ze względu na tajemnicę przedsiębiorstwa możemy bazować na oświadczeniu podmiotu przyjmującego zlecenie.

W praktyce istotne może okazać się również, czy przedsiębiorca, z którym mamy zamiar podpisać umowę powierzenia, posiada gwarancje rekompensaty za ewentualne błędy popełnione przy realizacji tego zadania, może to być np. Ubezpieczenie lub zapis umowny określający zasady dochodzenia odszkodowania.

Jak wynika z danych zamieszczanych na stronach UKE, prezes UKE w przeszłości nakładał na podmiot zlecający kary, nawet w wysokości 200 000 zł, za niewłaściwe zlecenie wykonywania obowiązków obronnych (https://archiwum.uke.gov.pl/sad-apelacyjny-oddalil-apelacje-vectry-15138).

Pragniemy jednocześnie przypomnieć, że niezależnie od wyżej wspomnianego rozporządzenia na przedsiębiorcy telekomunikacyjnym spoczywają obowiązki dotyczące zapewnienia integralności sieci lub usług opisane w dziale VIIa ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne.

Bardzo często zdarza się, że przedsiębiorca telekomunikacyjny prowadzi nie tylko działalność telekomunikacyjną ale również działalność „w przestrzeni cyfrowej”, np. usługi serwerów DNS, hostingowe, usługi świadczone drogą elektroniczną, itp.

W myśl przepisów ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa przedsiębiorca może być uznany jako operator usługi kluczowej lub dostawca usługi cyfrowej w zależności od charakteru prowadzonej działalności.

Operatorem usługi kluczowej jest podmiot, prowadzący jedną z działalności opisanej poniżej, wobec którego minister właściwy do spraw informatyzacji wydał decyzję o uznaniu za operatora usługi kluczowej.

Wykaz podmiotów, które mogą być uznane jako operatorzy usług kluczowych.

1. Podmiot, który świadczy usługi DNS, polegające na prowadzeniu autorytatywnego serwera DNS dla co najmniej 100 tys. nazw domen.
2. Podmiot prowadzący punkt wymiany ruchu internetowego (IXP), stanowiącego obiekt sieciowy, który umożliwia podłączenie co najmniej 100 systemów autonomicznych, licząc średniorocznie, biorąc pod uwagę średnią z ostatnich 3 lat.
3. Podmiot zarządzający rejestracją internetowych nazw domen w ramach domeny najwyższego poziomu (TLD), który prowadzi przynajmniej jeden rejestr domeny najwyższego poziomu (TLD) dla co najmniej 100 tys. abonentów.

Dostawcą usługi cyfrowej jest podmiot, z wyłączeniem mikro i małego przedsiębiorcy, który świadczy jedną z niżej wymienionych usług cyfrowych:

1. Internetowa platforma handlowa. Usługa, która umożliwia konsumentom lub przedsiębiorcom zawieranie umów drogą elektroniczną z przedsiębiorcami na stronie internetowej platformy handlowej albo na stronie internetowej przedsiębiorcy, który korzysta z usług świadczonych przez internetową platformę handlową.
2. Usługa przetwarzania w chmurze, która umożliwia dostęp do skalowalnego i elastycznego zbioru zasobów obliczeniowych do wspólnego wykorzystywania przez wielu użytkowników.
3. Wyszukiwarka internetowa, usługa, która umożliwia użytkownikom wyszukiwanie wszystkich stron internetowych lub stron internetowych w danym języku za pomocą zapytania przez podanie słowa kluczowego, wyrażenia lub innego elementu, przedstawiającą w wyniku odnośniki, odnoszące się do informacji związanych z zapytaniem.

W tym przypadku nie jest wymagana decyzja organu administracji publicznej. Podmiot po spełnieniu wymagań określonych w przepisach staje się z mocy ustawy dostawcą usług cyfrowych i powinien wykonywać obowiązki określone w ustawie  z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

Warto mieć na względzie, że niedopełnienie obowiązków wynikających z przepisów ustawy Prawo telekomunikacyjne lub przepisów o krajowym systemie cyberbezpieczeństwa może skutkować nałożeniem na przedsiębiorcę kar finansowych.

Po wprowadzeniu jednego z czterech stopni alarmowych CRP należy wykonać czynności określone w przepisach, w szczególności: