To Feel Safe! - Blog To Feel Safe! #plan działań

Twarde prawo, ale prawo... komunikacji elektronicznej

Wed, 25 Jan 2023 14:37:00 +0100

We wtorek 24 stycznia 2023 roku zaplanowane było, przesunięte z wcześniejszego terminu, posiedzenie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii poświęcone rozpatrzeniu rządowych projektów ustaw Prawo komunikacji elektronicznej [PKE] i przepisy wprowadzające ustawę – Prawo komunikacji elektronicznej [wPKE] (druk sejmowy odpowiednio nr 2861, 2862).

Nowy termin to 26 stycznia 2023 godzina 11:00

Może tym razem się uda 😉

Jest co czytać

Projekty te stanowią bardzo obszerny materiał. PKE to 445 artykułów, natomiast wPKE to „tylko” 117 artykułów i zawiera nowelizację 65 ustaw. Projekty łącznie z uzasadnieniami, OSR, projektami przepisów wykonawczych to ponad 4700 stron.

Analizując te projekty pamiętać należy również o innych projektach będących w legislacji, na przykład nowelizacji ustawy o KSC, o zwalczaniu nadużyć w telekomunikacji, zwalczaniu pornografii w Internecie. Analiza całych projektów ustaw i przepisów nowelizowanych tymi projektami wymaga bardzo dużo pracy no i oczywiście nie mniej czasu.

W związku z powyższym zajęliśmy się przede wszystkim analizą tej części przepisów na której znamy się najlepiej, czyli regulujących sprawy obowiązków nakładanych na przedsiębiorców komunikacji elektronicznej, a w szczególności dotyczących obronności i bezpieczeństwa.

Uwagi na temat pozostałych zagadnień postaramy się przekazywać w najbliższym czasie razem z radcami prawnymi, z którymi mamy przyjemność współpracować.

Analizując i komentując zagadnienia związane nawet pośrednio z szeroko pojętym bezpieczeństwem należy mieć na uwadze, że bezpieczeństwo jest to jedna z najważniejszych wartości i potrzeb człowieka. Ważniejsze są tylko zapewnienie potrzeb fizjologicznych (sen, pożywienie, schronienie, itp.) Mając świadomość bezpieczeństwa oczekuje się od wszystkich uczestników procesu jego zapewnienia dołożenia najwyższej staranności.

Oczekujemy, że autorzy projektów aktów prawnych przestrzegają zasad racjonalnego prawodawcy, przestrzegając nie tylko formalnych zasad tworzenia prawa, opracowują i wprowadzają do stosowania optymalne przepisy, zredagowane zwięźle i syntetycznie, aby były zrozumiałe przez adresatów i dokładnie wyrażały intencje prawodawców.

Należy wierzyć, że ich projektanci kierowali się racjonalnymi przesłankami, a tym samym uwzględniali podstawowe zasady tworzenia prawa, z których wynika, że do oznaczenia jednakowych pojęć używa się jednakowych określeń, a różnych pojęć nie oznacza się tymi samymi określeniami, a przepisy, zredagowane są zwięźle i syntetycznie, tak, aby były zrozumiałe przez adresatów i dokładnie wyrażały intencje prawodawców.

Trochę o naszych spostrzeżeniach po analizie nowych przepisów

Poniżej, bardzo krótko kilka, no może kilkadziesiąt, zdań na temat zakresu obowiązków i podmiotów zobowiązanych do ich realizacji. W kolejnych artykułach podzielimy się spostrzeżeniami uwzględniając również naszą wieloletnią praktykę.

I. Przedsiębiorca komunikacji elektronicznej obowiązany jest podjąć działania mające na celu zapewnienia ciągłości świadczenia usług komunikacji elektronicznej lub dostarczania sieci telekomunikacyjnej uwzględniając możliwość wystąpienia sytuacji szczególnego zagrożenia, określony w projekcie ustawy o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (wersja z dnia 17.01.2023 r).

Aktualnie obowiązek ten pod nazwą: „Zapewnienie bezpieczeństwa i integralności sieci i usług telekomunikacyjnych” określony jest w ustawie z dnia 16 lipca 2004 r. Prawo telekomunikacyjne.

II. Przedsiębiorca telekomunikacyjny jest obowiązany posiadać aktualny i uzgodniony oraz wprowadzony do stosowania plan działań w sytuacji szczególnego zagrożenia.

III. Obowiązki przedsiębiorcy telekomunikacyjnego dotyczące obronności i bezpieczeństwa nakładane decyzjami Prezesa Urzędu Komunikacji Elektronicznej.

IV. Gromadzenie, przechowywanie, zabezpieczanie, udostępnianie danych stanowiących tajemnicę komunikacji elektronicznej, z wyłączeniem treści informacji przesyłanej w sieci telekomunikacyjnej (komunikatów elektronicznych to znaczy treści rozmów, SMS, e-maili, itp.). Ten obowiązek polega na gromadzeniu danych związanych ze świadczoną usługą, którymi są:

1) dane dotyczące użytkownika, którymi są, w przypadku abonenta będącego osobą fizyczną, są to imię i nazwisko, numer PESEL albo dane dokumentu tożsamości a w przypadku abonenta niebędącego osobą fizyczną nazwę, numer identyfikacyjny REGON, NIP, KRS, CEDG itp. zgromadzone w trakcie zawierania umowy na świadczenie usług telekomunikacyjnych,

2) dane transmisyjne, dane o lokalizacji, dane o próbach uzyskania połączenia między zakończeniami sieci generowane w czasie po uzyskaniu od właściwego podmiotu gromadzenia i udostępnienia takich danych.

W grupie tych danych nie ma informacji przesyłanej w sieci telekomunikacyjnej, to znaczy treści rozmów, SMS, e-maili itp.; przedsiębiorcy nie wolno przechwytywać, gromadzić i przechowywać takich informacji z własnej woli lub dotyczących wszystkich swoich abonentów.

V. Gromadzenie, przechowywanie na terytorium Rzeczypospolitej Polskiej, zabezpieczanie, przechowywanie przez 12 miesięcy licząc od chwili wykonania połączenia, udostępnianie danych telekomunikacyjnych dotyczących połączeń (kto inicjuje połączenie, z kim, czas trwania połączenia, rodzaj wykorzystywanej itp.), lokalizacja urządzenia końcowego, dane identyfikujące użytkownika końcowego, to jest podmiotu, który zawarł umowę na świadczenie usług telekomunikacyjnych – jest to potocznie zwana „RETENCJA DANYCH”.

W tej grupie danych również nie ma i nie może być informacji przesyłanej w sieci telekomunikacyjnej, to znaczy treści rozmów, SMS, e-maili itp.).

VI. Zapewnienie warunków umożliwiających sądowi, prokuratorowi, służbom specjalnym (10 podmiotów) prowadzenie kontroli informacji przesyłanej w sieci telekomunikacyjnej.

Najbardziej skomplikowana i zarazem bardzo kosztowna grupa obowiązków spoczywających na przedsiębiorcy komunikacyjnym to przygotowanie sieci telekomunikacyjnej w taki sposób, aby ustawowo upoważnione podmioty mogły przeprowadzić legalną kontrolę informacji.

Mając powyższe na względzie, jak wynika z projektowanych przepisów PKE i wPKE, na przedsiębiorcy komunikacji elektronicznej spoczywa kilka różnych obowiązków dotyczących zapewnienia określonym organom kontroli informacji przesyłanej w sieci telekomunikacyjnej oraz danych związanych z tymi kontrolowanymi informacjami.

1. Zapewnienie warunków technicznych i organizacyjnych wykonywania kontroli operacyjnej

Przepisy 11 (jedenastu) ustaw zobowiązują przedsiębiorców komunikacji elektronicznej do zapewnienia warunków technicznych i organizacyjnych wykonywania kontroli operacyjnej przez wskazane w tych ustawach 10 (dziesięć) podmiotów. Przedsiębiorca ma obowiązek przygotowania ich na własny koszt.

Przygotowanie tych obowiązków polega na przygotowaniu odpowiednich urządzeń telekomunikacyjnych, informatycznych służących przechwytywaniu informacji wysyłanej/odbieranych przez wskazane zakończenie sieci oraz do utrwalania tych informacji. System ten musi zapewniać również dostęp do danych związanych z tymi informacjami.

Ponadto przedsiębiorca musi być przygotowany do przyjęcia informacji o wszczęciu i realizacji kontroli operacyjnej oraz możliwości zaewidencjonowania przypadku prowadzenia kontroli operacyjnej.

Pamiętać należy, że kontrolę operacyjną można prowadzić w związku z działaniami dotyczącymi najcięższych przestępstw.

2. Przygotowanie sieci telekomunikacyjnej do przeprowadzania kontroli rozmów telefonicznych oraz innych przekazów informacji

Po wszczęciu postępowania karnego sąd na wniosek prokuratora może zarządzić kontrolę i utrwalanie treści rozmów telefonicznych lub przekazów informacji, w tym korespondencji przesyłanej pocztą elektroniczną w celu wykrycia i uzyskania dowodów dla toczącego się postępowania lub zapobieżenia popełnieniu nowego przestępstwa (tzw. „kontrola procesowa”).

Kontrola i utrwalanie treści rozmów telefonicznych są dopuszczalne tylko wtedy, gdy toczące się postępowanie lub uzasadniona obawa popełnienia nowego przestępstwa dotyczy co najmniej jednego z najcięższych przestępstw wymienionych w Kodeksie postępowania karnego.

Przedsiębiorca komunikacji elektronicznej zobowiązany jest do przygotowania urządzeń technicznych zapewniających kontrolę i utrwalanie przesyłanej w sieci telekomunikacyjnej informacji i danych związanych z tą informacją.

Ponadto przedsiębiorca musi przygotować warunki przyjęcia postanowienia dotyczącego wszczęcia kontroli procesowej, zaewidencjonowania go, zaewidencjonowania faktu rozpoczęcia, prowadzenia i jej zakończenia.

3. Zapewnienie warunków technicznych i organizacyjnych dostępu do komunikatów elektronicznych i danych oraz ich utrwalania

Na podstawie przepisów projektowanego PKE oraz wPKE przedsiębiorca komunikacji elektronicznej jest obowiązany do zapewnienia warunków technicznych i organizacyjnych umożliwiających uzyskiwanie przez uprawnione podmioty (tym razem 9!) dostępu do informacji przesyłanych w sieciach telekomunikacyjnych oraz do danych związanych z tymi komunikatami.

Uszczegółowienia tych obowiązków nastąpi w rozporządzeniu Rady Ministrów.

W kolejnych artykułach przedstawimy bardziej szczegółową analizę poszczególnych obowiązków spoczywających na przedsiębiorcach komunikacji elektronicznej.

Sprawdź czy nie musisz sporządzić Planu Działań

Fri, 04 Sep 2020 13:56:19 +0200

Od 28 sierpnia 2020 r. obowiązuje nowe rozporządzenie Rady Ministrów z dnia 19 sierpnia 2020 r. w sprawie planu działań przedsiębiorcy telekomunikacyjnego w sytuacjach szczególnych zagrożeń. (Dz. U. poz. 1464), które zastępuje dotychczas obowiązujące rozporządzenie sprzed 10 lat.

Zasadnicze zmiany wprowadzone w tym rozporządzeniu to podwyższony próg rocznych przychodów uzyskanych przez przedsiębiorcę telekomunikacyjnego z 4 do 10 milionów złotych, od którego powstaje obowiązek sporządzenia planu działań. Ponadto z obowiązku sporządzenia planu działań zwolniony jest, między innymi, przedsiębiorca telekomunikacyjny, który świadczy usługi za pośrednictwem sieci telekomunikacyjnej obsługującej nie więcej niż 1000 zakończeń sieci posiadający własny adres IP (dotychczas była to wartość 500 zakończeń sieci).

Nowe Rozporządzenie przewiduje jeden rodzaj planu sporządzanego dla całego obszaru prowadzonej działalności telekomunikacyjnej w miejsce wykonywanego dotychczas lokalnego planu działań, sporządzanego dla obszaru prowadzonej działalności telekomunikacyjnej nieprzekraczającego jednego powiatu oraz planu rejonowego – dla każdego województwa, na terenie którego prowadzono działalność telekomunikacyjną.

Na podkreślenie zasługuje to, że w rozporządzeniu tym określono terminy, jakie mają organy administracji publicznej uzgadniające plany działań, na udzielenie informacji potrzebnych do sporządzenia projektu planu oraz termin uzgodnienia tych planów.

Ponadto stwarza ono możliwość wykonania jednego planu działań dla grupy kapitałowej.

Zauważyć należy, że zmianie ulega również zwartość planu działań. Najbardziej zauważalne zmiany to konieczność przeprowadzenia analiz i ocen zagrożeń mających lub mogących mieć wpływ na bezpieczeństwo i integralność sieci, usług lub danych, w tym możliwość i skutki wystąpienia incydentów, mogących mieć negatywny wpływ na funkcjonowanie systemów informatycznych przedsiębiorcy.

Na podstawie przeprowadzonych analiz i ocen przedsiębiorca telekomunikacyjny będzie zobowiązany opisać w planie działań oraz wdrożyć do stosowania w przedsiębiorstwie środki techniczne i organizacyjne oraz metody zapobiegania zagrożeniom bezpieczeństwa sieci, usług lub danych.

To tak tyle wstępem odświeżenia i przypomnienia w temacie obowiązków dotyczących sporządzenia Planów Działań. Więcej szczegółów przygotujemy niebawem.

A teraz odpowiedz sobie na jedno bardzo ważne pytanie...

Czy muszę robić Plan Działań ?

Nie wiesz jak do tego podejść ? Bez obaw - przygotowaliśmy specjalny krótki formularz, za pomocą którego otrzymasz szybką odpowiedź

Znowu to zrobiliśmy, czyli kolejny krok do lepszego Prawa Komunikacji Elektronicznej

Thu, 03 Sep 2020 13:33:07 +0200

Nasze Uwagi - po raz drugi

Nasze wątpliwości dotyczą niektórych definicji, stanowiące podstawę do tworzenia dobrze funkcjonującego przepisu, a omówione poniżej.

O ile pojęcie „telekomunikacja” została zdefiniowana w sposób jasny i zrozumiały to już „komunikacja elektroniczna” nie jest zdefiniowana. Oprócz definicji tych dwóch pojęć należy również określić wzajemnych zależności tych pojęć. Warto zastanowić się czy należy używać dwóch bardzo zbliżonych pojęć.

Zaproponowaliśmy, aby użyć tylko pojęcie „komunikacja elektroniczna”, precyzyjnie zdefiniowanego, które zastąpi obecnie używane w PKE pojęcia „telekomunikacja” i „komunikacja elektroniczna”.

Następne zgłoszone przez nas wątpliwości dotyczyły definicji pojęć, w których użyto określenia „publiczny”, takich jak:

„publiczna sieć telekomunikacyjna”,
„publicznie dostępna usługa telekomunikacyjna”,
"publicznie dostępna usługa komunikacji elektronicznej”.

Brak definicji przeciwnych, to znaczy „niepubliczne sieci telekomunikacyjne”, inne niż publicznie usługi telekomunikacyjne lub komunikacji elektronicznej, oraz mało precyzyjne definicje dotyczące pojęć „publicznych” powodują trudności w określeniu „publiczności” prowadzonej działalności przez przedsiębiorcę.

Zarekomendowaliśmy również opracowanie definicji pojęć przeciwnych to znaczy określenie usług innych niż publicznie dostępnych usług, niepublicznych sieci itp.

Należy pamiętać, że na przedsiębiorcach eksploatujących publiczną sieć telekomunikacyjną lub świadczących publicznie dostępną usługę komunikacji elektronicznej (w tym telekomunikacyjną) spoczywa wiele ustawowych obowiązków np. retencja danych telekomunikacyjnych.

Zaproponowaliśmy zmianę konstrukcji przepisów dotyczących bardzo szeroko pojętego bezpieczeństwa a regulujących sprawy wewnętrznego bezpieczeństwa przedsiębiorcy jak i obowiązków realizowanych na rzecz administracji publicznej związanych z bezpieczeństwem i obronnością.

Zaproponowaliśmy, aby te zadania i obowiązki opisać w czterech grupach przepisów:

Obowiązki przedsiębiorcy telekomunikacyjnego w zakresie własnego bezpieczeństwa

Ta grupa przepisów powinna dotyczyć zapewnienia bezpieczeństw i integralności sieci, usług i danych oraz ochrony informacji przetwarzanej przez przedsiębiorcę, w tym objętą:

tajemnicą telekomunikacyjną,
danych osobowych,
tajemnicy przedsiębiorstwa,
informacji niejawnych.

Ponadto w tej grupie przepisów powinny znaleźć się przepisy określające zasady ochrony kluczowej infrastruktury oraz ochrony fizycznej.

Zagadnienia te są bardzo silnie z sobą powiązane i trudno sobie wyobrazić inne niż tylko kompleksowe realizowanie tych obowiązków.

Obowiązki polegające na świadczeniu usług na rzecz administracji publicznej:

Dostarczanie sieci telekomunikacyjnej i świadczenie usług dla wybranych podmiotów właściwych w sprawach obronności, bezpieczeństwa, ratownictwa, zarządzania kryzysowego. Zagadnienie to wymaga uregulowania na poziomie ustawowym lub w przypadku już uregulowanym odwołanie do obowiązujących aktów prawnych np. do przepisów o powszechnym obowiązku obrony, przepisów o organizowaniu zadań obronnych realizowanych przez przedsiębiorców.
Działania w ramach zarządzania kryzysowego, w tym ochrona infrastruktury krytycznej, na zasadach określonych w przepisach o zarzadzaniu kryzysowym,
Ograniczenie lub rozszerzenie wykonywanej działalności telekomunikacyjnej na podstawie decyzji administracyjnej wydanej przez ustawowo uprawniony organ,

Obowiązki polegające na zapewnieniu dostępu lub udostępnianiu podmiotom informacji stanowiącej tajemnice telekomunikacyjną:

Zatrzymywanie, przechowywanie, ochrona, udostępnianie niektórych danych telekomunikacyjnych z wykonanymi połączeniami lub próbą nieudanych połączeń,
Udostępnianie danych gromadzonych przez przedsiębiorcę telekomunikacyjnego w związku ze świadczona usługą telekomunikacyjną,
Zapewnienie warunków technicznych i organizacyjnych umożliwiających podmiotom właściwym w sprawach bezpieczeństw oraz wymiaru sprawiedliwości dostępu do informacji przesyłanej w sieci telekomunikacyjnej oraz danych związanych z tymi informacjami.

Obowiązki polegające na zapewnieniu możliwości wykonywania cenzury korespondencji realizowanej na podstawie przepisów o stanie wojennym i stanie wyjątkowym.

Zaproponowaliśmy, aby całkowicie zrezygnować z definicji „sytuacji szczególnych zagrożeń”.

Pojęcie „sytuacja szczególnego zagrożenia” została już użyta w Konstytucji RP

W myśl tego przepisu sytuacja szczególnego zagrożenia jest to zdarzenie, które uzasadnia wprowadzenie stanu nadzwyczajnego, to znaczy, że zaistniało takie zagrożenie, wobec którego przeciwdziałanie środkami konstytucyjnymi są niewystarczające i państwo musi zastosować środki nadzwyczajne.

Organ uprawniony do wprowadzenia stanu nadzwyczajnego dokonuje oceny sytuacji pod względem spełnienia warunków do wprowadzenia stanu nadzwyczajnego to znaczy ocenia, czy wystąpiła sytuacja szczególnego zagrożenia. Użycie w ustawie Prawo komunikacji elektronicznej pojęcia „sytuacja szczególnego zagrożenia” może powodować wątpliwości interpretacyjne.

Planowanie działań oraz ich realizacja ogranicza się do zapewnienia bezpieczeństwa i integralności sieci , usług oraz danych będących w jego właściwości.

Uprawnienia Prezesa UKE

Odnosząc się do uprawnień Prezesa UKE dotyczących możliwości zobowiązania przedsiębiorcy telekomunikacyjnego do poddania się (na koszt przedsiębiorcy) audytu zapewnienia bezpieczeństwa i integralności sieci, usług i danych wykonanego przez certyfikowany podmiot, zaproponowaliśmy doprecyzowanie przesłanek działań Prezesa UKE uzasadniające wydanie decyzji dotyczącej powyższej sprawie.

Bardzo miękki warunek zawarty w określeniu „uzasadnione wątpliwości” może spowodować, że praktycznie każdy przedsiębiorca może być poddany audytowi. Warto zaznaczyć, że koszt takiego audytu dla wielu przedsiębiorców może przekraczać jego możliwości finansowe.

Proponujemy wskazać bardziej precyzyjne konkretne lub przykładowe przesłanki uzasadniające podjęcie działań przez Prezesa UKE. Redagując ten przepis należy mieć na względzie, że Prezes UKE może wszcząć działania kontrolne bez uzasadnienia oraz do zespołu kontrolnego może włączyć ekspertów nie będących pracownikami UKE.

Bliżej do Mickiewicza czy do Wegecjusza?

Zapraszamy na naszą prelekcję która odbędzie się podczas 25 iNet Meeting / Oktel 6. W czasie naszego wystąpienia omówimy kluczowe zmiany w nowo tworzonym prawie skupiając się głównie na sprawach obronności i bezpieczeństwa, ale również o obowiązkach wynikających z ostatnio wprowadzonych w życie rozporządzeniach dotyczących Planów Działań oraz Bezpieczeństwa i Integralność Sieci i Usług.

Już możemy zdradzić, że planujemy kilka nowości w związku z nowymi Rozporządzeniami.

Więcej szczegółów w Jachrance podczas prelekcji oraz na naszym stoisku – Do Zobaczenia 😊

A do tego czasu śledźcie nasze kanały w mediach społecznościowych oraz odwiedzajcie naszą stronę, tam też pojawią się ciekawe nowości.