We wtorek 24 stycznia 2023 roku zaplanowane było, przesunięte z wcześniejszego terminu, posiedzenie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii poświęcone rozpatrzeniu rządowych projektów ustaw Prawo komunikacji elektronicznej [PKE] i przepisy wprowadzające ustawę – Prawo komunikacji elektronicznej [wPKE] (druk sejmowy odpowiednio nr 2861, 2862).

Projekty te stanowią bardzo obszerny materiał. PKE to 445 artykułów, natomiast wPKE to „tylko” 117 artykułów i zawiera nowelizację 65 ustaw. Projekty łącznie z uzasadnieniami, OSR, projektami przepisów wykonawczych to ponad 4700 stron.

Analizując te projekty pamiętać należy również o innych projektach będących w legislacji, na przykład nowelizacji ustawy o KSC, o zwalczaniu nadużyć w telekomunikacji, zwalczaniu pornografii w Internecie. Analiza całych projektów ustaw i przepisów nowelizowanych tymi projektami wymaga bardzo dużo pracy no i oczywiście nie mniej czasu.

W związku z powyższym zajęliśmy się przede wszystkim analizą tej części przepisów na której znamy się najlepiej, czyli regulujących sprawy obowiązków nakładanych na przedsiębiorców komunikacji elektronicznej, a w szczególności dotyczących obronności i bezpieczeństwa.

Analizując i komentując zagadnienia związane nawet pośrednio z szeroko pojętym bezpieczeństwem należy mieć na uwadze, że bezpieczeństwo jest to jedna z najważniejszych wartości i potrzeb człowieka. Ważniejsze są tylko zapewnienie potrzeb fizjologicznych (sen, pożywienie, schronienie, itp.) Mając świadomość bezpieczeństwa oczekuje się od wszystkich uczestników procesu jego zapewnienia dołożenia najwyższej staranności.

Oczekujemy, że autorzy projektów aktów prawnych przestrzegają zasad racjonalnego prawodawcy, przestrzegając nie tylko formalnych zasad tworzenia prawa, opracowują i wprowadzają do stosowania optymalne przepisy, zredagowane zwięźle i syntetycznie, aby były zrozumiałe przez adresatów i dokładnie wyrażały intencje prawodawców.

Poniżej, bardzo krótko kilka, no może kilkadziesiąt, zdań na temat zakresu obowiązków i podmiotów zobowiązanych do ich realizacji. W kolejnych artykułach podzielimy się spostrzeżeniami uwzględniając również naszą wieloletnią praktykę.

Najbardziej skomplikowana i zarazem bardzo kosztowna grupa obowiązków spoczywających na przedsiębiorcy komunikacyjnym to przygotowanie sieci telekomunikacyjnej w taki sposób, aby ustawowo upoważnione podmioty mogły przeprowadzić legalną kontrolę informacji.

Mając powyższe na względzie, jak wynika z projektowanych przepisów PKE i wPKE, na przedsiębiorcy komunikacji elektronicznej spoczywa kilka różnych obowiązków dotyczących zapewnienia określonym organom kontroli informacji przesyłanej w sieci telekomunikacyjnej oraz danych związanych z tymi kontrolowanymi informacjami.

W kolejnych artykułach przedstawimy bardziej szczegółową analizę poszczególnych obowiązków spoczywających na przedsiębiorcach komunikacji elektronicznej.

Jak czytamy w uzasadnieniu do projektu, ustawa o obronie Ojczyzny „... ustanawia obywatelski obowiązek obrony Ojczyzny, który jest nie tylko obowiązkiem o charakterze prawnym, ale również moralnym i patriotycznym.” oraz stanowi, że „… Obrona Ojczyzny jest również przejawem realizacji obowiązku wierności Rzeczypospolitej Polskiej oraz troski o dobro wspólne.

Ustawa została podpisana przez Prezydenta RP 18 marca 2022 roku, w takim razie co nas czeka po jej publikacji ?

W dniu 27 stycznia 2022 roku Komitet Rady Ministrów do Spraw Bezpieczeństwa Narodowego i Spraw Obronnych (KSBO) pozytywnie zaopiniował projekt zmiany ustawy o KSC. Komitet przekazał zalecenie pilnego procedowania projektu.

Jak wynika z informacji umieszczonej na stronie KPRM, po zaopiniowaniu projektu ustawy przez Komitet Rady Ministrów do Spraw Bezpieczeństwa Narodowego i Spraw Obronnych, skierowany zostanie pod obrady Stałego Komitetu Rady Ministrów (ponownie?). Po zaakceptowaniu projektu przez komitet, projekt zweryfikuje komisja prawnicza pod względem poprawności legislacyjnej i redakcyjnej a następnie Rada Ministrów podejmie decyzję o przyjęciu projektu i skierowaniu go do Sejmu.

Analizując projekt nowelizacji ustawy o KSC (wersja z dnia 12.10.2021 r.) trudno nie zadać sobie poniższych pytań:

Dodatkowym udogodnieniem dla OSSB, stworzonym przez nowelizowaną ustawę KSC, jest ułatwienie dostępu do infrastruktury zarówno będącej we właściwości innych przedsiębiorców telekomunikacyjnych jak i należących do podmiotów administracji rządowej lub samorządowej. Kolejnym udogodnieniem dla OSSB będzie prawo pierwokupu sieci telekomunikacyjnych będących w posiadaniu administracji samorządowej np. będących w posiadaniu gmin lub regionalne sieci szerokopasmowe.

Czas światowej pandemii COVID-19 był wielkim egzaminem funkcjonowania przedsiębiorstw telekomunikacyjnych. Mimo wielu trudności egzamin ten zdano celująco. Z tego też powodu pojęcia takie jak bezpieczeństwo, zagrożenie, kryzys w ostatnim czasie wymieniane jest bardzo często i w przypadku przedsiębiorców telekomunikacyjnych czynności określane tymi pojęciami realizowane są na co dzień, mimo że nie zawsze one są tak nazwane.

Obowiązujące jeszcze Prawo telekomunikacyjne oraz PKE dość szeroko reguluje sprawy bezpieczeństwa.

Pierwsza wersja projektu PKE, w części dotyczącej bezpieczeństwa udostępniona publicznie w kwietniu 2020 r. do prekonsultacji społecznych, niewiele różniła się od przepisów Prawa telekomunikacyjnego w obecnym brzmieniu. Przepisy tego projektu określały obowiązki przedsiębiorcy komunikacji elektronicznej dotyczące bezpieczeństwa i integralności sieci, usług danych i przekazów telekomunikacyjnych, działań przedsiębiorcy telekomunikacyjnego w sytuacji wystąpienia sytuacji szczególnego zagrożenia, sporządzenia i uzgodnienia z właściwymi organami planów działań w sytuacjach zagrożeń, udostępniania podmiotom właściwym w sprawach bezpieczeństwa i wymiaru sprawiedliwości dostępu do danych i przekazów telekomunikacyjnych. Ponadto projekt ten określał sprawy ochrony informacji stanowiącej tajemnicę telekomunikacyjną, w tym ochronę danych abonentów będących osobami fizycznymi.

Uwagi organów administracji publicznej oraz podmiotów uczestniczących w konsultacjach społecznych spowodowały, że regulację zagadnień dotyczących cyberbezpieczeństwa w telekomunikacji umieszczono w projekcie ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz ustawy – Prawo zamówień publicznych (projekt z dnia 7 września 2020 r.).

Dotychczas nie ukazał się projekt ustawy Prawo komunikacji elektronicznej uwzględniający te zmiany.

Ze szczątkowych informacji krążących w środowisku telekomunikacyjnym można wysnuć wnioski, że sprawy dotyczące cyberbezpieczeństwa w całości zostaną uregulowane w ustawie o krajowym systemie cyberbezpieczeństwa.

Miejmy nadzieję, że pozostałe kwestie związane z bezpieczeństwem będzie regulowała ustawa PKE, w szczególności będzie to dotyczyło bezpieczeństwa sieci, danych i przekazów telekomunikacyjnych innych niż te dotyczące cyberbezpieczeństwa.

Odpowiedzi na to, i podobne pytania, znajdujemy bardziej w naszych przypuszczeniach opartych na wieloletnim doświadczeniu związanym z pracami legislacyjnymi dotyczącymi przepisów branży telekomunikacyjnej, dlatego możemy tylko przypuszczać, że:

Najprawdopodobniej ujednolicona zostanie definicja informacji przekazywanej w sieci telekomunikacyjnej. Dotychczas były to komunikat, przekaz telekomunikacyjny, sygnał itp. Teraz będzie to komunikat elektroniczny jako każda informacja przesyłana w sieci telekomunikacyjnej.

W dalszym ciągu pozostanie nieostre określenie lokalnej sieci radiowej określana jako system dostępu bezprzewodowego o niskiej mocy i bliskim zasięgu. Wszystkie pojęcia nieostre i niemierzalne mogą budzić wiele wątpliwości. Jest to o tyle ważne, że w dalszym ciągu PKE stanowi, że umożliwianie korzystania z publicznej sieci telekomunikacyjnej za pośrednictwem lokalnej sieci radiowej nie stanowi działalności telekomunikacyjnej, jeżeli jest to działalność dodatkowa w stosunku do wykonywanej przez podmiot działalności głównej. W praktyce stosowania tego przepisu może powodować rozbieżności w ocenie czy takie działanie jest czy nie jest działalnością telekomunikacyjną z wszystkimi konsekwencjami z tym związanymi.

Pozostanie niedoprecyzowane pojęcie „niepubliczna” sieć telekomunikacyjna oraz „niepublicznie” dostępna usługa komunikacji elektronicznej lub telekomunikacyjnej. Treść tych definicji może mieć w przyszłości wielkie znaczenie w przypadku konieczności określenia podmiotów będących operatorami publicznych sieci telekomunikacyjnych lub dostawcami publicznie dostępnych usług, a z tym będą wiązały się obowiązki np. z zakresu obronności i bezpieczeństwa.

Również nieostre pojęcia pojawią się w przepisach regulujących obowiązki na rzecz obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego a dotyczących zapewnienie warunków dostępu do przekazów lub danych telekomunikacyjnych.

Między innymi treść zapisu, który określa, że uprawniony podmiot wspólnie z przedsiębiorcą telekomunikacyjnym, w terminie 24 godzin od momentu zgłoszenia zapotrzebowania w formie pisemnej przez uprawniony podmiot, z uwzględnieniem możliwości technicznych i finansowych przedsiębiorcy telekomunikacyjnego oraz wymogów określonych właściwym rozporządzeniem, określają sposób realizacji przez przedsiębiorcę telekomunikacyjnego warunków dostępu i utrwalania.

W przypadku bezskutecznego upływu terminu, o wyżej, uprawniony podmiot, z uwzględnieniem możliwości technicznych i finansowych przedsiębiorcy telekomunikacyjnego oraz wymogów określonych we właściwym rozporządzeniu, uprawniony podmiot wskaże sposób realizacji przez przedsiębiorcę telekomunikacyjnego warunków dostępu i utrwalania.

W związku z tym nasuwają się pytania co będziemy rozumieć pod pojęciem możliwości techniczne i finansowe? Wolne środki na koncie przedsiębiorcy, wielkość obrotów czy będzie to oparte na oświadczeniu przedsiębiorcy i uznaniowości organów administracji publicznej?

Należy również pamiętać, że przepis ten dotyczy każdego przedsiębiorcy bez względu na wielkość eksploatowanej sieci telekomunikacyjnej, wartość sprzedaży w ciągu roku, itp. Ponadto PKE nie określa sposobu rozstrzygnięcia rozbieżności w ocenie powyższych zagadnień.

Warto w tym miejscu docenić starania projektodawców i podmiotów uczestniczących w opiniowaniu i uzgadnianiu tych przepisów mające na celu zmniejszenia obciążeń spoczywających na przedsiębiorcach telekomunikacyjnych, jednak należy precyzyjnie określić te obowiązki, szczególnie w przypadkach, gdy może to dotyczyć spraw bezpieczeństwa.

Kończąc nasze predykcje, spodziewamy się, że mogą pojawić się przepisy określające zwrot kosztów, związanych z przygotowaniem i realizacją obowiązków na rzecz obronności, bezpieczeństwa państwa, bezpieczeństwa i porządku publicznego, ponoszonych przez przedsiębiorców telekomunikacyjnych.

Nic bardziej mylnego, duża liczba firm w dalszym ciągu traktuje zgłoszenie naruszenia … jako formę samo przyznania się do naruszeń prawa i wystawienie się na karę, lub jako formę przyznania się do błędów działania własnej organizacji. Dodatkowo bardzo często przypadkowo wyznaczone osoby do pełnienia funkcji IOD nie są w stanie w sposób właściwy dokonać analizy zdarzenia pod kątem wypełnienia przesłanki uznania zdarzenia jako incydentu bezpieczeństwa.

W konsekwencji pomimo posiadania dobrze opracowanej dokumentacji, firmy rezygnują z wypełnienia tego obowiązku, a tym samym wystawiają się na karę przykładem tego może być kara (za brak zgłoszenia incydentu bezpieczeństwa polegającego na wysłaniu mailem umowy do innej osoby) blisko 90 tys. zł opublikowana na stronie UODO (https://uodo.gov.pl/decyzje/DKN.5131.5.2020).

Z naszego wieloletniego doświadczenia w tym zakresie wynika, że zgłoszenie naruszenia bezpieczeństwa, jeśli jest to zdarzenie jednostkowe i losowe, Prezes Urzędu Ochrony Danych Osobowych nie wyciąga żadnych konsekwencji. Fakt zgłoszenia odnotowywany jest w prowadzanej przez Prezesa publicznie niedostępnej ewidencji. Zdarza się też, iż Prezes UODO zwraca się na piśmie o dodatkowe informacje lub zleca wprowadzenie zmiany lub uzupełnienia pisma do klienta i ewentualnie nakazuje zmianę formy doręczenia tego pisma klientowi.

Pamiętajmy zgłoszenie faktu naruszenia ochrony danych, po jego stwierdzeniu, wskazuje na właściwy poziom funkcjonowania nadzoru nad przetwarzaniem danych osobowych, świadczy o właściwym nadzorze i odpowiedniej wiedzy osób odpowiedzialnych w firmie za bezpieczeństwo. Jednocześnie jest to forma zabezpieczenia firmy przed ewentualnymi konsekwencjami.

Niemniej trzeba mieć na uwadze, iż najczęściej wraz ze zgłoszeniem do Prezesa UODO koniecznym jest wystosowanie stosownej informacji do klienta, na podstawie art. 34 RODO, którego incydent dotyczy.

Zewnętrzne podmioty gospodarcze mogą mieć dostęp do firmowych baz danych tylko po podpisaniu umowy powierzenia danych osobowych lub zawarcia stosownych zapisów w umowie biznesowej. Szczegółowy wykaz kwestii wymagających regulacji został opisany w ust. 3 art. 28 RODO.

Sam fakt zawarcia umowy (wpisania stosownych zapisów w umowie biznesowej) jest tylko elementem formalnym, ułatwiających obronę interesów firmy w sporach. Natomiast najważniejszym jest kwestia współpracy Administratora z podmiotem przetwarzającym w toku realizacji umowy biznesowej.

RODO przewiduje pełną współpracę Administratora i podmiotu przetwarzającego również w kwestii systemów bezpieczeństwa, a odpowiedzialność Administratora obejmuje również systemy podmiotu przetwarzającego, z tego też wynika uprawnienie do audytu prowadzonego przez Administratora u podmiotu przetwarzającego brak współpracy może skutkować poważnymi konsekwencjami, ostatnia kara nałożona (brak współpracy przy systemie zabezpieczenia danych) przez Prezesa UODO za brak takiej współpracy wynosiła prawie 1,1 mln. zł (https://uodo.gov.pl/decyzje/DKN.5130.1354.2020).

W tak krótkiej wypowiedzi trudno omówić wszystkie obowiązki wynikające z RODO, rozważyć wszystkie przypadki dotyczące zabezpieczeń, audytów współpracy z podmiotami zewnętrznymi czy też nadzorem nad pracownikami, niemniej już ta krótka informacja wskazuje, że temat RODO cicho, lecz nabiera rozpędu. 

Tym bardziej zapraszamy do zapisów na otrzymywanie newsletterów oraz kontaktu z naszymi ekspertami. 

Nowelizacja PT nakłada na przedsiębiorców stosujących tę formę zawierania umowy obowiązek umożliwienia abonentom stosowania formy dokumentowej również w przypadku unieważnienia lub rozwiązania zawartej umowy.

W przypadku skorzystania przez abonenta z dokumentowej formy wypowiedzenia umowy obowiązkiem przedsiębiorcy będzie w ciągu dnia roboczego potwierdzenie otrzymania takiego oświadczenia, dopuszczalne formy to sms lub rozmowa telefoniczna. 

Dodatkowo w ciągu 14 dni przedsiębiorca ma obowiązek potwierdzenia przyjęcia oświadczenia na trwałym nośniku (pismo tradycyjne, być może mail na adres mailowy wpisany do umowy itp.), wskazując nazwę usługi będącej przedmiotem wypowiedzenia, dzień otrzymania wypowiedzenia i dzień rozwiązania umowy.”

Koniecznym wydaje się wdrożenie w firmowym BOK procedury postępowania w przypadku otrzymania maila, z którego treści wynika chęć rozwiązania umowy. Należy podkreślić, iż zgodnie z polskim prawem (por. KPA) to treść decyduje o charakterze pisma nie jego forma czy też słowa klucze, zatem nie muszę w tytule maila pisać słowa „WYPOWIEDZENIE” aby mail był faktycznym wypowiedzeniem. Zatem z przygotowanej procedury musi wynikać sposób analizy treści maila przez wyznaczonego pracownika BOK, tak aby żadne z wypowiedzeń nie umknęło jego oku i nie mogło stanowić podstawy do skargi, a klient, który składa wypowiedzenie bardzo chętnie taką skargę wystosuje. Dodatkowo pracownik musi mieć możliwość konsultacji w przypadkach wątpliwych.

Ponadto należy w procedurze określić co dzieje się dalej z otrzymanym wypowiedzeniem, kto wysyła SMS-a lub prowadzi rozmowę telefoniczną w ciągu dnia roboczego następującego po otrzymaniu wypowiedzenia, kto i w jakiej formie wysyła potwierdzenie otrzymania wypowiedzenia w ciągu 14 dni od otrzymania wypowiedzenia, w jaki sposób jest to dokumentowane i potwierdzane.

Niemniej na przedsiębiorcy telekomunikacyjnym ciąży obowiązek poinformowania abonenta w sposób jasny i zrozumiały na trwałym nośniku, w terminie nie później niż 30 dni przed upływem okresu, na jaki umowa została zawarta, o automatycznym przedłużeniu umowy.

Ponadto przedsiębiorca telekomunikacyjny musi powiadomić abonenta o sposobach rozwiązania umowy, a także najkorzystniejszych oferowanych przez siebie pakietach taryfowych.”

W tym zakresie nie ma większych problemów, wystarczy na koncie abonenta (np. w CRM-ie) ustawić alert na 45 dni przed upływem ważności umowy. Dodatkowo należy mieć przygotowany wzorzec informacji, a ponadto przygotowaną ofertę pakietową (a to każdy ma przygotowane).