Żądania przekazania danych retencyjnych koniecznie trzeba sprawdzać pod względem ich zgodności z prawem i poprawności merytorycznej, zacznijmy od początku.

Sprawdzenie danych przedsiębiorcy telekomunikacyjnego. Po otrzymaniu żądania należy sprawdzić, czy zostało ono skierowane właściwie tzn. czy nazwa przedsiębiorcy i adres jest zgodny z wpisem do CEiDG, KRS.

Najwięcej błędów dotyczy spółdzielni mieszkaniowych, gdyż bardzo często pytania kierowane są do telewizji kablowej, która jest komórką organizacyjną spółdzielni i samodzielnie nie posiada osobowości prawnej. Podobna sytuacja jest w przypadku, gdy przedsiębiorca posługuje się inną nazwą handlową aniżeli wpis do rejestru, np. kwiaciarnia „AAA” jest przedsiębiorcą telekomunikacyjnym, a Internet sprzedaje pod marką handlową Internet com.

Udzielenie informacji w przypadku, gdy niewłaściwie oznaczono przedsiębiorcę telekomunikacyjnego może mieć przykre skutki, gdyż sąd skaże winnego, a ten nawet z więzienia założy sprawę o odszkodowanie, w związku z naruszeniem tajemnicy telekomunikacyjnej, gdyż udzieliliśmy informacji nie będąc pytani, bo żądanie było skierowane do kogoś innego.

W przypadku takich błędów należy wezwać organ do poprawienia żądania.

Bardzo często wykupione przez nas numery lub adresy IP są udostępniane innym przedsiębiorcom.

Również w tym wypadku powinniśmy poinformować organ, że adres lub numer jest wykorzystywany przez inny podmiot i koniecznie wskazać ten podmiot podając jego nazwą i identyfikator NIP.

Osoba taka musi okazać upoważnienie wydane przez właściwy organ np. Komendanta Głównego Policji, komendanta wojewódzkiego Policji, Szefa ABW, Szefa CBA itp.

Koniecznym jest sprawdzenie upoważnienia czy uprawnia funkcjonariusza do żądania danych retencyjnych np. w upoważnieniu funkcjonariusza policji musi być wskazane prawo do żądania danych opisanych w art. 20c ustawy o policji, gdyż żądania z art. 15 tejże ustawy dotyczą danych innych aniżeli dane retencyjne, odpowiednio też w przypadku ABW w upoważnieniu powinno być zapisane, iż funkcjonariusz może żądać danych o których mowa w art. 28 ustawy o ABW oraz AW, gdyż dane określone w art. 24  nie dotyczą danych retencyjnych i tak jest w przypadku wszystkich uprawnionych podmiotów.

Są to subtelne różnice, jednakże ich pominięcie może skutkować również ukaraniem za udzielenie informacji osobie nieupoważnionej.

Pamiętajmy, iż art. 15 ustawy o policji czy też art. 24 ustawy o ABW oraz AW dotyczą danych osobowych innych aniżeli dane retencyjne, które są danymi szczególnymi opisanymi w innych jednostkach ustaw kompetencyjnych.

Jeśli stosujemy adresy IP statyczne to i tak przed udzieleniem odpowiedzi musimy sprawdzić w danych retencyjnych czy połączenie w określonym czasie było realizowane.

Bardzo częstym błędem jest odpisanie, że adres należy do klienta X bez sprawdzenia czy było połączenie we wskazanym czasie.

Tak udzielona odpowiedź zostanie odczytana jako potwierdzenie faktu realizacji połączeni. Jeśli więc nie ma połączenia a mamy statyczne adresy musimy to jednoznacznie wskazać, że „adres jest przydzielony klientowi X niemniej w systemach przedsiębiorcy nie odnotowano połączenia, nieudanej próby połączenia w czasie wskazanym w żądaniu”.

Obowiązki retencyjne są naprawdę stosunkowo proste do realizacji, ale wymagają skrupulatności i oczywiście sumienności.

W tak krótkim artykule trudno szczegółowo opisać wszystkie przypadki więc skupiłem się na najczęstszych zdarzeniach, z którymi spotkaliśmy się udzielając konsultacji naszym klientom. W niedalekiej przyszłości zorganizujemy szkolenie dla osób praktycznie wykonujące powyższe obowiązki, w sposób bardziej szczegółowy i poparty przykładami, wyjaśniając poszczególne etapy przygotowania odpowiedzi na żądania sądów, prokuratorów oraz uprawnionych podmiotów.

• Wykaz adresów, w których odbywana jest kwarantanna, przechowuje osoba upoważniona przez ADO i udostępnia pracownikom, tylko dane dotyczące tych adresów, w których w najbliższym czasie będą wykonywane czynności.
• Po wykorzystaniu danych udostępnionych pracownikowi, o którym mowa w ust. 2 wyżej, pracownik ten zwraca te dane do osoby, od której je otrzymał, niszczy lub usuwa z systemu informatycznego w sposób uniemożliwiających ich odczytanie według ustaleń ADO.
• Po wykorzystaniu wszystkich danych udostępnionych  ww. wykazu adresów wykaz ten należy protokólarnie zniszczyć.

Przepis art. 11e ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19 stanowi, że właściciel infrastruktury krytycznej, w tym urządzeń służących do świadczenia usług telekomunikacyjnych lub jego upoważniony przedstawiciel, którego infrastruktura lub urządzenia są zlokalizowane na terenie nieruchomości należących do osób trzecich lub znajdujących się w posiadaniu osób trzecich, może w okresie obowiązywania stanu zagrożenia epidemicznego, stanu epidemii albo stanu wyjątkowego, wnioskować do właściwego miejscowo komendanta Policji o asystę funkcjonariuszy Policji, w celu umożliwienia wejścia lub wjazdu na teren nieruchomości, w tym do budynku, również z użyciem środków przełamujących istniejące zabezpieczenia, w celu przeprowadzenia czynności niezbędnych dla ciągłości świadczenia usług, w tym w zakresie prac budowlanych.

Asysta funkcjonariusza Policji jest udzielana niezwłocznie, po przedstawieniu przez właściciela infrastruktury krytycznej dowodów potwierdzających odmowę przez właściciela, użytkownika lub zarządcę nieruchomości wejścia lub wjazdu na teren nieruchomości, w tym budynku.

Wejście na nieruchomość w trybie opisanym wyżej możliwy jest również w przypadku braku możliwości kontaktu z właścicielem, użytkownikiem lub zarządcą nieruchomości, w tym budynku.

Celowo podkreśliłem frazę: właściciel infrastruktury krytycznej, w tym urządzeń służących do świadczenia usług telekomunikacyjnych, ponieważ, w mojej ocenie, ma ona kluczowe znaczenie w skuteczności tych przepisów.

Ustawa z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym w art. 3 pkt 2 zawiera definicję infrastruktury krytycznej. Jako infrastrukturę krytyczną należy rozumieć systemy oraz wchodzące w ich skład powiązane ze sobą funkcjonalnie obiekty, w tym obiekty budowlane, urządzenia, instalacje, usługi kluczowe dla bezpieczeństwa państwa i jego obywateli oraz służące zapewnieniu sprawnego funkcjonowania organów administracji publicznej, a także instytucji i przedsiębiorców. Infrastruktura krytyczna obejmuje między innymi systemy łączności i sieci teleinformatycznych.

Otóż, moim zdaniem, nie. Oczywiście, wobec niejednoznaczności treści przepisów stanowiska mogą być odmienne.

Aby uznać infrastrukturę za krytyczną musi ona spełniać pewne wymagania formalne, określone między innymi w ustawie z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym.

Infrastruktura taka musi być kluczowa dla bezpieczeństwa państwa i jego obywateli oraz służąca zapewnieniu sprawnego funkcjonowania organów administracji publicznej, instytucji i przedsiębiorców, dodatkowo infrastruktura ta musi być ujęta w Krajowym Planie Zarządzania Kryzysowego.

Dyrektor Rządowego Centrum Bezpieczeństwa sporządza, na podstawie niejawnych kryteriów, wykaz obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej z podziałem na systemy. O ujęciu w powyższym niejawnym wykazie Dyrektor Rządowego Centrum Bezpieczeństwa informuje ich właścicieli, posiadaczy samoistnych i zależnych obiektów, instalacji lub urządzeń infrastruktury krytycznej. 

Mają oni obowiązek ich ochrony, w szczególności przez przygotowanie i wdrażanie, stosownie do przewidywanych zagrożeń, planów ochrony infrastruktury krytycznej oraz utrzymywanie własnych systemów rezerwowych zapewniających bezpieczeństwo i podtrzymujących funkcjonowanie tej infrastruktury, do czasu jej pełnego odtworzenia.

Ponadto mają oni obowiązek wyznaczyć, w terminie 30 dni od dnia otrzymania informacji o ujęciu ich infrastruktury w wykazie infrastruktury krytycznej, osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami właściwymi w zakresie ochrony infrastruktury krytycznej.

Jeżeli dla obiektów, instalacji, urządzeń i usług infrastruktury krytycznej istnieją, tworzone na podstawie innych przepisów, plany odpowiadające wymogom planu ochrony infrastruktury krytycznej, uznaje się, iż wymóg posiadania takiego planu jest spełniony.

Rada Ministrów określiła w rozporządzeniu z dnia 30 kwietnia 2010 r. w sprawie planów ochrony infrastruktury krytycznej (Dz. U. nr 83, poz. 542) sposób tworzenia, aktualizacji oraz strukturę planów ochrony infrastruktury krytycznej opracowywanych oraz warunki i tryb uznania spełnienia obowiązku posiadania planu odpowiadającego wymogom planu ochrony infrastruktury krytycznej.

Przy okazji chciałbym zauważyć, że zasadne jest dostosowanie pojęcia „łączności” i „sieci teleinformatyczne” do aktualnie stosowanej siatki pojęciowej w prawie powszechnym, bo w przypadku sporów w omawianej sprawie może to mieć istotne znaczenie.

Systemy łączność kiedyś zawierały w sobie sieci telekomunikacyjne i systemy pocztowe. Aktualnie kojarzy się to wyłącznie z usługami pocztowymi.

Z kolei system teleinformatyczny, w myśl art. 2 pkt 3 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, to zespół współpracujących ze sobą urządzeń informatycznych i oprogramowania, zapewniający przetwarzanie i przechowywanie, a także wysyłanie i odbieranie danych poprzez sieci telekomunikacyjne za pomocą właściwego dla danego rodzaju sieci telekomunikacyjnego urządzenia końcowego w rozumieniu ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne.

Z tej definicji jednoznacznie wynika, że sieć telekomunikacyjna nie jest elementem systemu teleinformatycznego a tylko narzędziem umożliwiającym przesyłanie danych przetwarzanych przez ten system.

W takim razie rodzi się pytanie, w którym z systemów wskazanym w ustawie o zarządzaniu kryzysowym jest sieć telekomunikacyjna?