O "rewolucji w ochronie prywatności", pisałem jakiś czas temu, informując o pracach nad nowelizacją art. 173 Prawa Telekomunikacyjnego i problematyce uzyskiwania wcześniejszej zgody użytkownika na stosowanie przez właściciela strony tzw. ciasteczek (cookies). Rzecz się rozbija o interpretację nowej treści art. 5. ust. 3 Dyrektywy 2002/58/WE (dyrektywa o prywatności i łączności elektronicznej określana także jako "dyrektywa e-privacy"), jaką ustanawia Artykuł 2 punkt 5 Dyrektywy Parlamentu Europejskiego i Rady 2009/136/WE z dnia 25 listopada 2009 r. Chodziło w szczególności o to, czy uprzednia zgoda na ciasteczka (zwłaszcza tzw. śledzące) powinna być wyraźna, czy dorozumiana - a jak tak, w jaki sposób można ją dorozumiewać (polecam też artykuł "I co z tymi ciasteczkami?").

Problematyka regulacji jest bardzo drażliwa zwłaszcza dla reklamodawców, pośredników i "wydawców" internetowych reklam. Chodzi m.in. o to, kto będzie przetwarzał o nas informacje, w jaki sposób, pod jakimi warunkami i w jakim celu - dotyczy to np. analizy behawioralnej z wykorzystaniem cookies w związku z reklamą behawioralną, tzw. OBA.

Ostatecznie zostało przyjęte takie podejście, że zgoda na stosowanie ciasteczek może wyrażona za pomocą ustawień przeglądarki (a więc w sposób dorozumiany). Niezbędne jest jednak wypełnienie przez operatora (administratora / właściciela) strony odpowiednich obowiązków informacyjnych.

Obecne brzmienie art. 173 Prawa Telekomunikacyjnego w części, która może dotyczyć cookies, jest następujące*:

Art. 173. 1. Przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym abonenta lub użytkownika końcowego jest dozwolone, pod warunkiem że:

1) abonent lub użytkownik końcowy zostanie uprzednio bezpośrednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały, o:

a) celu przechowywania i uzyskiwania dostępu do tej informacji,

b) możliwości określenia przez niego warunków przechowywania lub uzyskiwania dostępu do tej informacji za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez niego telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi;

2)  abonent lub użytkownik końcowy, po otrzymaniu informacji, o których mowa w pkt 1, wyrazi na to zgodę;

3)  przechowywana informacja lub uzyskiwanie do niej dostępu nie powoduje zmian konfiguracyjnych w telekomunikacyjnym urządzeniu końcowym abonenta lub użytkownika końcowego i oprogramowaniu zainstalowanym w tym urządzeniu.

2. Abonent lub użytkownik końcowy może wyrazić zgodę, o której mowa w ust. 1 pkt 2, za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez niego telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi.

3. Warunków, o których mowa w ust. 1, nie stosuje się, jeżeli przechowywanie lub uzyskanie dostępu do informacji, o której mowa w ust. 1, jest konieczne do:

1) wykonania transmisji komunikatu za pośrednictwem publicznej sieci telekomunikacyjnej;

2) dostarczania usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną, żądanej przez abonenta lub użytkownika końcowego (...)

Tekst nowelizacji: Ustawa z dnia 16 listopada 2012 r. o zmianie ustawy – Prawo telekomunikacyjne oraz niektórych innych ustaw. ^*UWAGA: przytoczone wyżej nowe brzmienie art. 173 PT, zgodnie z powołaną ustawą nowelizującą, wchodzi w życie nieco później  (tj. 21 marca 2013 r.) niż większość pozostałych zmian, które wchodzą z dniem dzisiejszym; vide art. 28 ustawy zmieniającej, zgodnie z którym ustawa wchodzi w życie 30 dni od daty ogłoszenia, czyli 21 stycznia 2013 r., aczkolwiek niektóre jej przepisy, wymienione enumeratywnie w tym artykule, wchodzą w życie w innym czasie; w szczególności zaś regulacja dotycząca cookies wchodzi w życie nie po 30 a po 90 dniach od dnia ogłoszenia ustawy w Dzienniku Ustaw, co nastąpiło 21 grudnia 2012 r.

Na stronach Ministerstwa Ministerstwa Administracji i Cyfryzacji (MAiC) można znaleźć takie wyjaśnienia odnośnie części nowelizacji Prawa Telekomunikacyjnego odnoszącej się do "ciasteczek":

Ciasteczka (cookies) w komputerach. Bez nich nasze życie w Internecie byłoby uciążliwe – przeglądarka nie pamiętałaby naszych preferencji, lub ostatniego miejsca naszych odwiedzin na stronie. Z tego samego powodu odwiedzana przez nas kilkakrotnie strona serwowałaby nam w kółko te same reklamy. Ale też boimy się, że szpiegujące nasze ruchy w Internecie ciasteczka naruszają naszą prywatność. Komisja Europejska uznała więc, że musimy o instalacji ciasteczek wiedzieć jak najwięcej. Ale gdybyśmy przy każdym wejściu na nową stronę musieli klikać, czy je chcemy, czy nie, byłoby to bardzo uciążliwe. Dlatego w nowej ustawie proponujemy, aby użytkownik mógł wyrazić zgodę za pomocą ustawień przeglądarki – tam ustawimy poziom, ile i jakich chcemy ciasteczek. Przyjęliśmy zasadę, że musimy być o kwestii i działaniu cookies poinformowani. Od chwili uzyskania informacji o cookies każda nasza decyzja (a także jej brak w postaci braku zmiany domyślnych ustawień przeglądarki umożliwiających przetwarzanie cookies) będzie wyrazem świadomego aktu woli.

Warto jednak zaznaczyć, że nowelizacja Prawa Telekomunikacyjnego jest znacznie szersza.

Nowe Prawo Telekomunikacyjne dostosowuje nasze ustawodawstwo do wymagań dyrektyw unijnych, a poza tym wprowadza korzystne zmiany dla użytkowników telefonii. Kładzie kres "drobnemu druczkowi" oraz bardzo długim umowom na internet czy telefon – umowy mają być przejrzyste, czytelne i zrozumiałe; konsument musi być świadomy, co przedsiębiorca mu gwarantuje i jakie są ograniczenia w świadczeniu usługi telekomunikacyjnej.

Najważniejsze dla przeciętnego obywatela zmiany to:

• Jeśli korzystamy z mobilnego internetu, będziemy mogli żądać, by przedsiębiorca powiadamiał nas o wykorzystaniu limitu transferu danych. Nie będą nam więc groziły nieoczekiwanie wysokie rachunki za korzystanie z internetu.
• Nie będziemy zmuszani do podpisywania bardzo długich umów. Pierwsza umowa nie mogłaby być podpisana na dłużej niż dwa lata, a można by było też podpisać umowę na czas krótszy niż rok – to powinno zwiększyć konkurencję na rynku, bo przedsiębiorcy walczyliby o klienta. 
• Dane o naszych połączeniach będą przechowywane o połowę krócej – okres tzw. retencji danych ulega skróceniu z 24 do 12 miesięcy. Przechowywanie danych o połączeniach telekomunikacyjnych pozwala walczyć z przestępstwami. Należy jednocześnie wskazać, że firmy telekomunikacyjne i tak muszą przez 12 miesięcy przechowywać szczegółowe dane o połączeniach, by móc rozstrzygać reklamacje abonentów.
• Osobom niepełnosprawnym nowe Prawo Telekomunikacyjne ułatwi dostęp do usług, wprowadzi też udogodnienia dla takich użytkowników.

MAiC na swoich stronach w bardzo przystępny i ładny sposób przedstawiło wchodzące dziś w życie zmiany.

(Nie widać animacji? Tu jest plik PDF przedstawiający najważniejsze zmiany w Prawie Telekomunikacyjnym)
ŹRÓDŁO: MAiC

Ja szczególnie cieszę się z ograniczeń czasu obowiązkowej retencji danych. Wciąż bowiem bulwersująca jest w Polsce liczba podsłuchów oraz sytuacji, w których różnego rodzaju organy ścigania (w tym różnorakie trzyliterowe agencje) sięgają do danych o naszych połączeniach telefonicznych (często bez naprawdę ważnego powodu), co dzieje się często w praktyce poza realną kontrolą sądów. Dotychczasowy okres obowiązkowego przechowywania danych w Polsce (aż 24 miesiące) był zbyt długi, zwłaszcza że stosowna dyrektywa wprowadzała widełki z dolnym pułapem 6 miesięcy. Wiele też państw UE stosowało właśnie ten minimalny poziom (na przykład Niemcy, Litwa i Słowacja).

Praktyka prokuratorska w Polsce przy okresie retencji danych telekomunikacyjnych – 24 miesiące – w 2009 r. wyglądała tak:

• 71% ankietowanych prokuratorów zlecało ekspertyzy dotyczące połączeń telekomunikacyjnych w związku ze sprawami o posiadanie narkotyków;
• na podstawie billingu poszukiwano nowych osobowych źródeł dowodowych w celu ewentualnego rozszerzenia zarzutów osobom podejrzanym o posiadanie;
• wzywano i przesłuchiwano jako świadków osoby "z billingu".

Źródło: Andrzej Adamski, Retencja danych telekomunikacyjnych a zasada proporcjonalności

Jak słusznie podnosi dr hab. Andrzej Adamski, prof. UMK, w swym wystąpieniu - opracowaniu pt. "Retencja danych telekomunikacyjnych a zasada proporcjonalności" (PDF), prawdopodobieństwo wkroczenia funkcjonariuszy publicznych w sferę życia prywatnego "niewinnych" obywateli wzrasta wraz z wydłużaniem się okresu retencji – "jestem inwigilowany chociaż nic złego nie zrobiłem".

Ja od siebie dodam, że w przeciwieństwie do "ciasteczek" w przeglądarce, permanentnie nadużywanej inwigilacji ze strony wielu organów państwa niestety nie da się już samemu wyłączyć. Dlatego mam nadzieję, że skrócony do 12 miesięcy okres retencji danych będzie tylko pierwszym krokiem ku lepszemu respektowaniu naszych praw podstawowych. Bo chodzi nie tylko o różnorakie zakusy prywatnych podmiotów (np. reklamodawców - m.in. profilowanie przez ciasteczka), ale również o zakusy państwa i jego organów. Przed śledzącymi i inwigilującymi organami obronić się jest dużo trudniej, niż przed "śledzącymi ciasteczkami".

Dlatego na koniec życzę nam wszystkim, by wszechobecna na całym świecie inwigilacja nie zbliżyła się nigdy do poziomu wprowadzonego pilotażowo w jednym z miast w Meksyku. Być może nowelizacja PT oddala nas od tej orwellowskiej wizji przy jednoczesnej akceptacji faktu, iż technologie mogą i mają nam służyć. Byle wszystko odbywało się przy braniu pod uwagę naszych świadomych wyborów (mam tu w szczególności na myśli m.in. marketing behawioralny, reklamę behawioralną, profilowanie behawioralne - do czego odnosi się właśnie nowelizacja w zakresie cookies).

Rafał Cisek, radca prawny, współpracownik Centrum Badań Problemów Prawnych i Ekonomicznych Komunikacji Elektronicznej (CBKE), twórca serwisu prawa nowych technologii NoweMEDIA.org.pl, ekspert w zakresie prawnych aspektów komunikacji elektronicznej.