Prokurator prowadzący postępowanie w Polsce będzie mógł wystąpić bezpośrednio do dostawcy usług działającego w innym państwie Unii Europejskiej o wydanie danych mogących stanowić dowód w sprawie karnej. Od dzisiaj zaczynają być stosowane przepisy unijnego rozporządzenia e-evidence, które istotnie zmienia zasady transgranicznego pozyskiwania dowodów elektronicznych.
W określonych przypadkach usługodawca będzie miał 10 dni na przekazanie danych, a w sytuacjach nagłych – zaledwie osiem godzin. Nowe rozwiązania obejmą m.in. dane z poczty elektronicznej, komunikatorów i usług chmurowych.
Dowód za granicą, nakaz bezpośrednio do usługodawcy
Coraz większa część materiału wykorzystywanego w postępowaniach karnych ma charakter cyfrowy. Problem pojawia się wówczas, gdy potrzebne śledczym informacje pozostają pod kontrolą podmiotu działającego w innym państwie.
Dotychczas konieczność korzystania z mechanizmów międzynarodowej współpracy wymiarów sprawiedliwości mogła znacząco wydłużać procedurę. W przypadku danych elektronicznych czas ma natomiast szczególne znaczenie – informacje mogą zostać usunięte lub zmienione, zanim organy zdążą je zabezpieczyć.
Odpowiedzią UE jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1543 dotyczące europejskich nakazów wydania i europejskich nakazów zabezpieczenia dowodów elektronicznych.
Kluczową zmianą jest możliwość skierowania nakazu bezpośrednio do dostawcy usług lub jego wyznaczonego zakładu bądź przedstawiciela prawnego w innym państwie członkowskim. Fizyczne położenie serwera, na którym przechowywane są informacje, co do zasady przestaje mieć decydujące znaczenie.
EPOC. Co będzie można uzyskać?
Pierwszym z nowych instrumentów jest europejski nakaz wydania dowodów, określany jako EPOC.
Może on służyć do uzyskania istniejących danych elektronicznych znajdujących się pod kontrolą usługodawcy. W zależności od charakteru postępowania mogą to być m.in. informacje dotyczące użytkownika, dane niezbędne do jego identyfikacji, dane o ruchu, a w najpoważniejszych sprawach również treść komunikacji.
Co do zasady adresat nakazu będzie zobowiązany do przekazania żądanych informacji w ciągu 10 dni od otrzymania dokumentu.
Znacznie krótszy termin przewidziano w sytuacjach nadzwyczajnych. Jeżeli istnieje bezpośrednie zagrożenie życia, integralności fizycznej lub bezpieczeństwa osoby albo bezpośrednie zagrożenie dla infrastruktury krytycznej, termin może zostać skrócony do ośmiu godzin.
Drugi nakaz ma zapobiec zniknięciu danych
Nie zawsze organ prowadzący postępowanie jest od razu gotowy do pozyskania określonych informacji. Jednocześnie może istnieć ryzyko ich utraty.
Temu ma służyć europejski nakaz zabezpieczenia dowodów – EPOC-PR.
Po jego otrzymaniu usługodawca będzie zobowiązany do zabezpieczenia wskazanych danych, aby nie zostały usunięte przed ich późniejszym pozyskaniem przez właściwe organy.
Podstawowy okres zabezpieczenia wynosi 60 dni. Może zostać przedłużony o kolejne 30 dni, jeżeli jest to konieczne dla umożliwienia późniejszego wydania danych.
Nie każde przestępstwo pozwoli sięgnąć po treść rozmów
Unijny prawodawca zróżnicował warunki stosowania nowych instrumentów w zależności od rodzaju informacji.
Stosunkowo szerokie możliwości dotyczą danych abonenta oraz danych pozwalających na identyfikację użytkownika. Nakaz ich wydania może być stosowany w postępowaniach dotyczących przestępstw niezależnie od wysokości przewidzianej za nie kary.
Znacznie dalej idącą ingerencją w prywatność jest dostęp do danych o ruchu oraz treści komunikacji. Dlatego możliwość żądania takich informacji została ograniczona.
Co do zasady chodzi o postępowania dotyczące przestępstw zagrożonych w państwie wydającym nakaz karą pozbawienia wolności, której górna granica wynosi co najmniej trzy lata. Rozporządzenie przewiduje także określone kategorie przestępstw, w przypadku których dostęp do takich danych będzie możliwy na szczególnych zasadach.
Rozwiązanie ma zachować proporcję pomiędzy skutecznością postępowania karnego a ochroną prywatności, tajemnicy komunikowania się i danych osobowych.
Poczta, komunikatory i chmura. Kogo obejmą przepisy?
Zakres regulacji jest szeroki. Nowe obowiązki mogą dotyczyć dostawców usług łączności elektronicznej, usług internetowych pozwalających użytkownikom komunikować się między sobą oraz innych usług cyfrowych umożliwiających przechowywanie danych.
W praktyce materiałem interesującym organy ścigania mogą być więc zarówno informacje dotyczące konta użytkownika, jak i – po spełnieniu bardziej rygorystycznych przesłanek – wiadomości e-mail, dane z komunikatorów czy pliki przechowywane w chmurze.
Mechanizm został skonstruowany właśnie z myślą o rzeczywistości, w której użytkownik może znajdować się w Polsce, usługodawca mieć siedzibę w innym kraju, a infrastruktura przechowująca dane – jeszcze gdzie indziej.
Firmy muszą mieć punkt kontaktowy dla organów ścigania
Rozporządzenie jest częścią szerszego pakietu e-evidence. Drugim jego filarem jest dyrektywa (UE) 2023/1544.
Nakłada ona na określonych dostawców usług obowiązek wyznaczenia zakładu lub przedstawiciela prawnego, do którego organy państw członkowskich będą mogły kierować instrumenty służące pozyskiwaniu dowodów elektronicznych.
Ma to rozwiązać praktyczny problem ustalenia, do kogo konkretnie powinien zwrócić się prokurator lub sąd, gdy usługodawca prowadzi działalność transgraniczną.
Termin implementacji dyrektywy upłynął 18 lutego 2026 r. Według informacji przytaczanych przez Business Insider Polska do tego czasu Polska nie należała do państw, które zakończyły dostosowywanie prawa krajowego.
Duża zmiana w postępowaniach karnych
Nowe przepisy mogą mieć istotne znaczenie dla praktyki prokuratorskiej i sądowej. Materiał cyfrowy od dawna nie ogranicza się bowiem do postępowań dotyczących cyberprzestępczości.
E-maile, historia komunikacji, informacje o użytkownikach czy dane dotyczące aktywności w usługach internetowych pojawiają się dziś w sprawach dotyczących przestępstw gospodarczych, oszustw, przestępczości zorganizowanej czy czynów przeciwko życiu i zdrowiu.
Od 18 sierpnia 2026 r. zmienia się przede wszystkim droga prowadząca do takich informacji. Zamiast każdorazowego angażowania organów państwa, z którym związany jest zagraniczny usługodawca, w określonych przez rozporządzenie przypadkach możliwe będzie skierowanie nakazu bezpośrednio do podmiotu dysponującego danymi.
Dla organów ścigania oznacza to przede wszystkim oszczędność czasu. Dla dostawców usług - nowe obowiązki i krótkie terminy. Dla użytkowników – szersze możliwości transgranicznego sięgania przez organy państwa po pozostawiane przez nich cyfrowe ślady.
Robert Bagiński
