Obowiązek operatora – przechowywanie i udostępnianie (retencja) danych

Na przedsiębiorcy telekomunikacyjnym ciąży obowiązek określony w art. 180a w zw. z art. 180c ustawy prawo telekomunikacyjne polegający na przechowywaniu i udostępnianiu (retencji) właściwym organom danych. Przewiduje on, że dane niezbędne do:

1) ustalenia zakończenia sieci, telekomunikacyjnego urządzenia końcowego, użytkownika końcowego:

a) inicjującego połączenie,

b) do którego kierowane jest połączenie;

2) określenia:

a) daty i godziny połączenia oraz czasu jego trwania,

b) rodzaju połączenia,

c) lokalizacji telekomunikacyjnego urządzenia końcowego.

należy przechowywać przez okres 12 miesięcy od dnia połączenia na własny koszt.

Dane objęte obowiązkiem retencji precyzuje: https://www.uke.gov.pl/files/?id_plik=8171

Zgodnie z § 3 tego rozporządzeniem danymi niezbędnymi do ustalenia w stacjonarnej publicznej sieci telekomunikacyjnej:

1) zakończenia sieci, telekomunikacyjnego urządzenia końcowego, użytkownika końcowego, inicjującego połączenie, są:

a) numer zakończenia stacjonarnej publicznej sieci telefonicznej, z którego inicjowane jest połączenie,

b) imię i nazwisko albo nazwa oraz adres abonenta, któremu przydzielono numer określony w lit. a;

2) zakończenia sieci, telekomunikacyjnego urządzenia końcowego, użytkownika końcowego, do którego jest kierowane połączenie, są:

a) numer zakończenia publicznej sieci telefonicznej użytkownika końcowego, do którego jest kierowane połączenie,

b) imię i nazwisko albo nazwa oraz adres użytkownika końcowego, do którego jest kierowane połączenie;

3) daty i godziny połączenia oraz czasu jego trwania są:

a) data i godzina nieudanej próby połączenia lub zestawienia i zakończenia połączenia, zgodnie z czasem lokalnym,

b) czas trwania połączenia z dokładnością do 1 sekundy;

4) rodzaju połączenia jest określenie wykorzystanej usługi;

5) lokalizacji telekomunikacyjnego urządzenia końcowego są:

a) adres lokalizacji telekomunikacyjnego urządzenia końcowego, z którego inicjowano połączenie,

b) adres lokalizacji telekomunikacyjnego urządzenia końcowego, do którego jest kierowane połączenie.

Zgodnie z § 4 rozporządzenia danymi niezbędnymi do ustalenia w ruchomej publicznej sieci telekomunikacyjnej:

1) zakończenia sieci, telekomunikacyjnego urządzenia końcowego, użytkownika końcowego, inicjującego połączenie, są:

a) numer MSISDN użytkownika końcowego, inicjującego połączenie,

b) imię i nazwisko albo nazwa oraz adres użytkownika końcowego, inicjującego połączenie, jeżeli udostępnił te dane,

c) numer IMSI użytkownika końcowego, inicjującego połączenie,

d) pierwsze 14 cyfr numeru IMEI albo numer ESN telekomunikacyjnego urządzenia końcowego, inicjującego połączenie,

e) data i godzina pierwszego zalogowania telekomunikacyjnego urządzenia końcowego do ruchomej publicznej sieci telefonicznej, zgodnie z czasem lokalnym, oraz współrzędne geograficzne lokalizacji stacji BTS, poprzez którą dokonano tego zalogowania – w przypadku użytkownika usługi przedpłaconej;

2) zakończenia sieci, telekomunikacyjnego urządzenia końcowego, użytkownika końcowego, do którego jest kierowane połączenie, są:

a) numer MSISDN użytkownika końcowego, do którego kierowane jest połączenie,

b) imię i nazwisko albo nazwa oraz adres użytkownika końcowego, do którego jest kierowane połączenie, jeżeli udostępnił te dane,

c) numer IMSI użytkownika końcowego, do którego jest kierowane połączenie,

d) pierwsze 14 cyfr numeru IMEI albo numer ESN telekomunikacyjnego urządzenia końcowego, do którego kierowane jest połączenie,

e) data i godzina pierwszego zalogowania telekomunikacyjnego urządzenia końcowego do ruchomej publicznej sieci telefonicznej, zgodnie z czasem lokalnym, oraz współrzędne geograficzne lokalizacji stacji BTS, poprzez którą dokonano tego zalogowania – w przypadku użytkownika usługi przedpłaconej;

3) daty i godziny połączenia oraz czasu jego trwania są:

a) data i godzina nieudanej próby połączenia lub zestawienia i zakończenia połączenia zgodnie z czasem lokalnym,

b) czas trwania połączenia z dokładnością do 1 sekundy;

4) rodzaju połączenia jest określenie wykorzystanej usługi;

5) lokalizacji telekomunikacyjnego urządzenia końcowego, z którego inicjowano połączenie, są:

a) w przypadku telekomunikacyjnego urządzenia końcowego znajdującego się na terytorium Rzeczypospolitej Polskiej:

– w czasie inicjowania połączenia identyfikator anteny stacji BTS,

– w czasie, przez który zatrzymywane są dane odnośnie połączenia:

– – współrzędne geograficzne stacji BTS, w obszarze której znajdowało się telekomunikacyjne urządzenie końcowe,

– – azymut, wiązkę i zasięg roboczy anteny stacji BTS,

b) w przypadku telekomunikacyjnego urządzenia końcowego, znajdującego się poza granicami Rzeczypospolitej Polskiej – identyfikator MCC i identyfikator sieci MNC, w której zainicjowano połączenie;

6) lokalizacji telekomunikacyjnego urządzenia końcowego, do którego było kierowane połączenie, są:

a) w przypadku telekomunikacyjnego urządzenia końcowego znajdującego się na terytorium Rzeczypospolitej Polskiej:

– w czasie rozpoczęcia odbioru połączenia identyfikator anteny stacji BTS,

– w czasie, przez który zatrzymywane są dane odnośnie połączenia:

– – współrzędne geograficzne stacji BTS, w obszarze której znajdowało się telekomunikacyjne urządzenie końcowe,

– – azymut, wiązkę i zasięg roboczy anteny stacji BTS,

b) w przypadku telekomunikacyjnego urządzenia końcowego znajdującego się poza granicami kraju – identyfikator MCC i identyfikator sieci MNC, do której zostało skierowane połączenie.

Zgodnie z § 6 rozporządzenia danymi niezbędnymi w przypadku usługi dostępu do Internetu, usługi poczty elektronicznej i usługi telefonii internetowej:

1) do ustalenia zakończenia sieci, telekomunikacyjnego urządzenia końcowego, użytkownika końcowego, inicjującego połączenie, są:

a) identyfikator użytkownika,

b) numer przydzielony użytkownikowi końcowemu, korzystającemu z dostępu dial-up,

c) identyfikator użytkownika i numer przydzielony użytkownikowi końcowemu inicjującemu połączenie kierowane do publicznej sieci telekomunikacyjnej,

d) adres IP,

e) imię i nazwisko albo nazwa oraz adres użytkownika końcowego, któremu w czasie połączenia przypisano adres IP, a także identyfikator użytkownika lub przydzielony mu numer w telefonii internetowej,

f) identyfikator zakończenia sieci, w którym użytkownik końcowy uzyskał dostęp do Internetu, w szczególności identyfikator cyfrowej linii abonenckiej DSL (Digital Subscriber Line), numer wykorzystywanego portu sieciowego lub adres MAC urządzenia końcowego inicjującego połączenie;

2) do ustalenia daty i godziny połączenia oraz czasu jego trwania są:

a) data i godzina każdorazowego połączenia i rozłączenia z Internetem, zgodnie z czasem lokalnym, wraz z przydzielonymi dynamicznie lub statycznie adresami IP wykorzystywanymi w czasie trwania połączenia oraz identyfikatorem użytkownika,

b) data i godzina zalogowania i wylogowania z usługi poczty elektronicznej i telefonii internetowej, zgodnie z czasem lokalnym.

Zgodnie z § 7 rozporządzenia danymi niezbędnymi w przypadku usługi poczty elektronicznej i usługi telefonii internetowej do ustalenia:

1) zakończenia sieci, telekomunikacyjnego urządzenia końcowego, użytkownika końcowego, do którego jest kierowane połączenie, są:

a) numer przydzielony użytkownikowi końcowemu, do którego jest kierowane połączenie w telefonii internetowej,

b) imię i nazwisko albo nazwa oraz adres zarejestrowanego użytkownika końcowego usługi poczty elektronicznej lub usługi telefonii internetowej, do którego jest kierowane połączenie, oraz identyfikator tego użytkownika;

2) rodzaju połączenia jest określenie wykorzystanej usługi, w tym numer wykorzystanego portu sieciowego.

Po upływie okresu 12 miesięcy od dnia połączenia, zgodnie z art 180a ust. 1 pkt 1 dane te należy zniszczyć, z wyjątkiem tych, które zostały zabezpieczone, zgodnie z przepisami odrębnymi (z reguły chodzi o dane już zabezpieczone przez uprawniony organ.

Na marginesie jedynie wskazać należy na wyrok TSUE z dnia 8 kwietnia 2014 r. w połączonych sprawach C-293/12 Digital Rights Ireland Ltd. oraz C-594/12 Kärntner Landesregierung i inni („Digital Rights”). Wyrok ten wskazuje na nieważność dyrektywy na podstawie której wprowadzone zostały obowiązki retencji danych. W wyroku z dnia 30 lipca 2014 r. w sprawie K 23/14 Trybunał Sprawiedliwości uznał za niezgodne wiele przepisów odnoszących się do retencji danych (m.in. uprawnienia Policji, czy Prokuratury do żądania danych) jednakże nie podważył konstytucyjności samych przepisów prawa telekomunikacyjnego. Uchylenie przepisów zostało jednak odroczone w czasie do 7 lutego 2016 r. 

Niemniej, do czasu usunięcia przepisów przez ustawodawcę lub TK należy stosować się do obowiązków retencji danych, albowiem w przeciwnym przypadku można narazić się na grzywnę określoną w art. 209 ust. 2 prawa telekomunikacyjnego.