We wtorek 24 stycznia 2023 roku zaplanowane było, przesunięte z wcześniejszego terminu, posiedzenie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii poświęcone rozpatrzeniu rządowych projektów ustaw Prawo komunikacji elektronicznej [PKE] i przepisy wprowadzające ustawę – Prawo komunikacji elektronicznej [wPKE] (druk sejmowy odpowiednio nr 2861, 2862).

Projekty te stanowią bardzo obszerny materiał. PKE to 445 artykułów, natomiast wPKE to „tylko” 117 artykułów i zawiera nowelizację 65 ustaw. Projekty łącznie z uzasadnieniami, OSR, projektami przepisów wykonawczych to ponad 4700 stron.

Analizując te projekty pamiętać należy również o innych projektach będących w legislacji, na przykład nowelizacji ustawy o KSC, o zwalczaniu nadużyć w telekomunikacji, zwalczaniu pornografii w Internecie. Analiza całych projektów ustaw i przepisów nowelizowanych tymi projektami wymaga bardzo dużo pracy no i oczywiście nie mniej czasu.

W związku z powyższym zajęliśmy się przede wszystkim analizą tej części przepisów na której znamy się najlepiej, czyli regulujących sprawy obowiązków nakładanych na przedsiębiorców komunikacji elektronicznej, a w szczególności dotyczących obronności i bezpieczeństwa.

Analizując i komentując zagadnienia związane nawet pośrednio z szeroko pojętym bezpieczeństwem należy mieć na uwadze, że bezpieczeństwo jest to jedna z najważniejszych wartości i potrzeb człowieka. Ważniejsze są tylko zapewnienie potrzeb fizjologicznych (sen, pożywienie, schronienie, itp.) Mając świadomość bezpieczeństwa oczekuje się od wszystkich uczestników procesu jego zapewnienia dołożenia najwyższej staranności.

Oczekujemy, że autorzy projektów aktów prawnych przestrzegają zasad racjonalnego prawodawcy, przestrzegając nie tylko formalnych zasad tworzenia prawa, opracowują i wprowadzają do stosowania optymalne przepisy, zredagowane zwięźle i syntetycznie, aby były zrozumiałe przez adresatów i dokładnie wyrażały intencje prawodawców.

Poniżej, bardzo krótko kilka, no może kilkadziesiąt, zdań na temat zakresu obowiązków i podmiotów zobowiązanych do ich realizacji. W kolejnych artykułach podzielimy się spostrzeżeniami uwzględniając również naszą wieloletnią praktykę.

Najbardziej skomplikowana i zarazem bardzo kosztowna grupa obowiązków spoczywających na przedsiębiorcy komunikacyjnym to przygotowanie sieci telekomunikacyjnej w taki sposób, aby ustawowo upoważnione podmioty mogły przeprowadzić legalną kontrolę informacji.

Mając powyższe na względzie, jak wynika z projektowanych przepisów PKE i wPKE, na przedsiębiorcy komunikacji elektronicznej spoczywa kilka różnych obowiązków dotyczących zapewnienia określonym organom kontroli informacji przesyłanej w sieci telekomunikacyjnej oraz danych związanych z tymi kontrolowanymi informacjami.

W kolejnych artykułach przedstawimy bardziej szczegółową analizę poszczególnych obowiązków spoczywających na przedsiębiorcach komunikacji elektronicznej.

Dotychczas abonent będącego cudzoziemcem spoza Unii Europejskiej musiał podać numer paszportu lub karty stałego pobytu, żeby móc zawrzeć umowę z przedsiębiorcą telekomunikacyjnym. Natomiast po opublikowaniu powyższej ustawy (tj. 13 marca 2022 roku) obywatel Ukrainy może podać rodzaj, numer i serię, dokumentu podróży lub innego dokumentu ze zdjęciem umożliwiającego ustalenie tożsamości.

Ustawą o pomocy obywatelom Ukrainy zmieniono między innymi zapisy ustawy o zarządzaniu kryzysowym, dzięki którym w sytuacjach kryzysowych Premier może wydać polecenia podjęcia działań dotyczących świadczenia usług lub dostaw, obowiązujące podmioty rządowe i samorządowe a także osoby prawne i jednostki organizacyjne nieposiadające osobowości prawnej oraz przedsiębiorców.

Polecenia mogą być wydawane w celu 

• zapewnienia właściwego funkcjonowania, ochrony, wzmocnienia lub odbudowy infrastruktury krytycznej; 
• przejęcia kontroli nad sytuacją kryzysową, której wpływ na poziom bezpieczeństwa ludzi, mienia lub środowiska, jest szczególnie negatywny;
• usunięcia skutków sytuacji kryzysowej.

Przepisy ułatwiające pomoc obywatelom Ukrainy zmieniają również ustawę o działaniach antyterrorystycznych. Pierwszą dość istotną zmianą jest rozszerzenie zakresu prac możliwych do wykonania w związku z wydarzeniami terrorystycznymi albo zagrażającymi bezpieczeństwu i porządkowi publicznemu. Powyższe zmiany przewidują również możliwość budowy, przebudowy lub instalowania infrastruktury przewodowej i innych urządzeń lub infrastruktury w zakresie niezbędnym do uruchomienia i prawidłowej eksploatacji tymczasowych instalacji radiokomunikacyjnych, w szczególności stacji bazowych ruchomej sieci telekomunikacyjnej.

Znowelizowany przepis zwalnia przedsiębiorcę telekomunikacyjnego, wykonującego wyżej opisane przedsięwzięcia, ze spełnienia niektórych obowiązków wynikających z przepisów prawa budowlanego, o drogach publicznych, prawa wodnego oraz prawa o ruchu drogowym.

Żądania przekazania danych retencyjnych koniecznie trzeba sprawdzać pod względem ich zgodności z prawem i poprawności merytorycznej, zacznijmy od początku.

Sprawdzenie danych przedsiębiorcy telekomunikacyjnego. Po otrzymaniu żądania należy sprawdzić, czy zostało ono skierowane właściwie tzn. czy nazwa przedsiębiorcy i adres jest zgodny z wpisem do CEiDG, KRS.

Najwięcej błędów dotyczy spółdzielni mieszkaniowych, gdyż bardzo często pytania kierowane są do telewizji kablowej, która jest komórką organizacyjną spółdzielni i samodzielnie nie posiada osobowości prawnej. Podobna sytuacja jest w przypadku, gdy przedsiębiorca posługuje się inną nazwą handlową aniżeli wpis do rejestru, np. kwiaciarnia „AAA” jest przedsiębiorcą telekomunikacyjnym, a Internet sprzedaje pod marką handlową Internet com.

Udzielenie informacji w przypadku, gdy niewłaściwie oznaczono przedsiębiorcę telekomunikacyjnego może mieć przykre skutki, gdyż sąd skaże winnego, a ten nawet z więzienia założy sprawę o odszkodowanie, w związku z naruszeniem tajemnicy telekomunikacyjnej, gdyż udzieliliśmy informacji nie będąc pytani, bo żądanie było skierowane do kogoś innego.

W przypadku takich błędów należy wezwać organ do poprawienia żądania.

Bardzo często wykupione przez nas numery lub adresy IP są udostępniane innym przedsiębiorcom.

Również w tym wypadku powinniśmy poinformować organ, że adres lub numer jest wykorzystywany przez inny podmiot i koniecznie wskazać ten podmiot podając jego nazwą i identyfikator NIP.

Osoba taka musi okazać upoważnienie wydane przez właściwy organ np. Komendanta Głównego Policji, komendanta wojewódzkiego Policji, Szefa ABW, Szefa CBA itp.

Koniecznym jest sprawdzenie upoważnienia czy uprawnia funkcjonariusza do żądania danych retencyjnych np. w upoważnieniu funkcjonariusza policji musi być wskazane prawo do żądania danych opisanych w art. 20c ustawy o policji, gdyż żądania z art. 15 tejże ustawy dotyczą danych innych aniżeli dane retencyjne, odpowiednio też w przypadku ABW w upoważnieniu powinno być zapisane, iż funkcjonariusz może żądać danych o których mowa w art. 28 ustawy o ABW oraz AW, gdyż dane określone w art. 24  nie dotyczą danych retencyjnych i tak jest w przypadku wszystkich uprawnionych podmiotów.

Są to subtelne różnice, jednakże ich pominięcie może skutkować również ukaraniem za udzielenie informacji osobie nieupoważnionej.

Pamiętajmy, iż art. 15 ustawy o policji czy też art. 24 ustawy o ABW oraz AW dotyczą danych osobowych innych aniżeli dane retencyjne, które są danymi szczególnymi opisanymi w innych jednostkach ustaw kompetencyjnych.

Jeśli stosujemy adresy IP statyczne to i tak przed udzieleniem odpowiedzi musimy sprawdzić w danych retencyjnych czy połączenie w określonym czasie było realizowane.

Bardzo częstym błędem jest odpisanie, że adres należy do klienta X bez sprawdzenia czy było połączenie we wskazanym czasie.

Tak udzielona odpowiedź zostanie odczytana jako potwierdzenie faktu realizacji połączeni. Jeśli więc nie ma połączenia a mamy statyczne adresy musimy to jednoznacznie wskazać, że „adres jest przydzielony klientowi X niemniej w systemach przedsiębiorcy nie odnotowano połączenia, nieudanej próby połączenia w czasie wskazanym w żądaniu”.

Obowiązki retencyjne są naprawdę stosunkowo proste do realizacji, ale wymagają skrupulatności i oczywiście sumienności.

W tak krótkim artykule trudno szczegółowo opisać wszystkie przypadki więc skupiłem się na najczęstszych zdarzeniach, z którymi spotkaliśmy się udzielając konsultacji naszym klientom. W niedalekiej przyszłości zorganizujemy szkolenie dla osób praktycznie wykonujące powyższe obowiązki, w sposób bardziej szczegółowy i poparty przykładami, wyjaśniając poszczególne etapy przygotowania odpowiedzi na żądania sądów, prokuratorów oraz uprawnionych podmiotów.

Nic bardziej mylnego, duża liczba firm w dalszym ciągu traktuje zgłoszenie naruszenia … jako formę samo przyznania się do naruszeń prawa i wystawienie się na karę, lub jako formę przyznania się do błędów działania własnej organizacji. Dodatkowo bardzo często przypadkowo wyznaczone osoby do pełnienia funkcji IOD nie są w stanie w sposób właściwy dokonać analizy zdarzenia pod kątem wypełnienia przesłanki uznania zdarzenia jako incydentu bezpieczeństwa.

W konsekwencji pomimo posiadania dobrze opracowanej dokumentacji, firmy rezygnują z wypełnienia tego obowiązku, a tym samym wystawiają się na karę przykładem tego może być kara (za brak zgłoszenia incydentu bezpieczeństwa polegającego na wysłaniu mailem umowy do innej osoby) blisko 90 tys. zł opublikowana na stronie UODO (https://uodo.gov.pl/decyzje/DKN.5131.5.2020).

Z naszego wieloletniego doświadczenia w tym zakresie wynika, że zgłoszenie naruszenia bezpieczeństwa, jeśli jest to zdarzenie jednostkowe i losowe, Prezes Urzędu Ochrony Danych Osobowych nie wyciąga żadnych konsekwencji. Fakt zgłoszenia odnotowywany jest w prowadzanej przez Prezesa publicznie niedostępnej ewidencji. Zdarza się też, iż Prezes UODO zwraca się na piśmie o dodatkowe informacje lub zleca wprowadzenie zmiany lub uzupełnienia pisma do klienta i ewentualnie nakazuje zmianę formy doręczenia tego pisma klientowi.

Pamiętajmy zgłoszenie faktu naruszenia ochrony danych, po jego stwierdzeniu, wskazuje na właściwy poziom funkcjonowania nadzoru nad przetwarzaniem danych osobowych, świadczy o właściwym nadzorze i odpowiedniej wiedzy osób odpowiedzialnych w firmie za bezpieczeństwo. Jednocześnie jest to forma zabezpieczenia firmy przed ewentualnymi konsekwencjami.

Niemniej trzeba mieć na uwadze, iż najczęściej wraz ze zgłoszeniem do Prezesa UODO koniecznym jest wystosowanie stosownej informacji do klienta, na podstawie art. 34 RODO, którego incydent dotyczy.

Zewnętrzne podmioty gospodarcze mogą mieć dostęp do firmowych baz danych tylko po podpisaniu umowy powierzenia danych osobowych lub zawarcia stosownych zapisów w umowie biznesowej. Szczegółowy wykaz kwestii wymagających regulacji został opisany w ust. 3 art. 28 RODO.

Sam fakt zawarcia umowy (wpisania stosownych zapisów w umowie biznesowej) jest tylko elementem formalnym, ułatwiających obronę interesów firmy w sporach. Natomiast najważniejszym jest kwestia współpracy Administratora z podmiotem przetwarzającym w toku realizacji umowy biznesowej.

RODO przewiduje pełną współpracę Administratora i podmiotu przetwarzającego również w kwestii systemów bezpieczeństwa, a odpowiedzialność Administratora obejmuje również systemy podmiotu przetwarzającego, z tego też wynika uprawnienie do audytu prowadzonego przez Administratora u podmiotu przetwarzającego brak współpracy może skutkować poważnymi konsekwencjami, ostatnia kara nałożona (brak współpracy przy systemie zabezpieczenia danych) przez Prezesa UODO za brak takiej współpracy wynosiła prawie 1,1 mln. zł (https://uodo.gov.pl/decyzje/DKN.5130.1354.2020).

W tak krótkiej wypowiedzi trudno omówić wszystkie obowiązki wynikające z RODO, rozważyć wszystkie przypadki dotyczące zabezpieczeń, audytów współpracy z podmiotami zewnętrznymi czy też nadzorem nad pracownikami, niemniej już ta krótka informacja wskazuje, że temat RODO cicho, lecz nabiera rozpędu. 

Tym bardziej zapraszamy do zapisów na otrzymywanie newsletterów oraz kontaktu z naszymi ekspertami. 

Nowelizacja PT nakłada na przedsiębiorców stosujących tę formę zawierania umowy obowiązek umożliwienia abonentom stosowania formy dokumentowej również w przypadku unieważnienia lub rozwiązania zawartej umowy.

W przypadku skorzystania przez abonenta z dokumentowej formy wypowiedzenia umowy obowiązkiem przedsiębiorcy będzie w ciągu dnia roboczego potwierdzenie otrzymania takiego oświadczenia, dopuszczalne formy to sms lub rozmowa telefoniczna. 

Dodatkowo w ciągu 14 dni przedsiębiorca ma obowiązek potwierdzenia przyjęcia oświadczenia na trwałym nośniku (pismo tradycyjne, być może mail na adres mailowy wpisany do umowy itp.), wskazując nazwę usługi będącej przedmiotem wypowiedzenia, dzień otrzymania wypowiedzenia i dzień rozwiązania umowy.”

Koniecznym wydaje się wdrożenie w firmowym BOK procedury postępowania w przypadku otrzymania maila, z którego treści wynika chęć rozwiązania umowy. Należy podkreślić, iż zgodnie z polskim prawem (por. KPA) to treść decyduje o charakterze pisma nie jego forma czy też słowa klucze, zatem nie muszę w tytule maila pisać słowa „WYPOWIEDZENIE” aby mail był faktycznym wypowiedzeniem. Zatem z przygotowanej procedury musi wynikać sposób analizy treści maila przez wyznaczonego pracownika BOK, tak aby żadne z wypowiedzeń nie umknęło jego oku i nie mogło stanowić podstawy do skargi, a klient, który składa wypowiedzenie bardzo chętnie taką skargę wystosuje. Dodatkowo pracownik musi mieć możliwość konsultacji w przypadkach wątpliwych.

Ponadto należy w procedurze określić co dzieje się dalej z otrzymanym wypowiedzeniem, kto wysyła SMS-a lub prowadzi rozmowę telefoniczną w ciągu dnia roboczego następującego po otrzymaniu wypowiedzenia, kto i w jakiej formie wysyła potwierdzenie otrzymania wypowiedzenia w ciągu 14 dni od otrzymania wypowiedzenia, w jaki sposób jest to dokumentowane i potwierdzane.

Niemniej na przedsiębiorcy telekomunikacyjnym ciąży obowiązek poinformowania abonenta w sposób jasny i zrozumiały na trwałym nośniku, w terminie nie później niż 30 dni przed upływem okresu, na jaki umowa została zawarta, o automatycznym przedłużeniu umowy.

Ponadto przedsiębiorca telekomunikacyjny musi powiadomić abonenta o sposobach rozwiązania umowy, a także najkorzystniejszych oferowanych przez siebie pakietach taryfowych.”

W tym zakresie nie ma większych problemów, wystarczy na koncie abonenta (np. w CRM-ie) ustawić alert na 45 dni przed upływem ważności umowy. Dodatkowo należy mieć przygotowany wzorzec informacji, a ponadto przygotowaną ofertę pakietową (a to każdy ma przygotowane).

Nie wiesz jak do tego podejść ? Bez obaw - przygotowaliśmy specjalny krótki formularz, za pomocą którego otrzymasz szybką odpowiedź