Ochrona danych on Arpokrat

SignalTrace: Europa eksportuje nadzór, na który sama sobie nie pozwala

Tue, 01 Sep 2026 00:00:00 +0000

Szara limuzyna przejeżdża pod bramownicą autostradową z prędkością 110 km/h. Kamera zamocowana na maszcie odczytuje tablicę, oznacza ją czasem, zapisuje. Nic nowego: takie urządzenia istnieją od dwudziestu lat i są rozstawione w dziesiątkach tysięcy egzemplarzy zarówno w Ameryce Północnej, jak i w Europie.

Ale jeśli ta bramownica otrzymała moduł, który włoska grupa Leonardo sprzedaje od czerwca 2026 roku, właśnie zarejestrowała coś jeszcze. iPhone’a kierowcy. Bezprzewodowe słuchawki pasażerki. Smartwatch na desce rozdzielczej. Radio samochodowe. Podłączony brelok w schowku. Czujniki ciśnienia w czterech oponach. Kartę dostępu, która została w marynarce. A jeśli z tyłu śpi pies, także jego czip identyfikacyjny.

Kilkanaście identyfikatorów, tablica, pozycja, godzina. Powtórz to przy każdej bramownicy w sieci, a nie śledzisz już samochodu: śledzisz ludzi i wiesz, z kim się przemieszczają.

Co urządzenie robi naprawdę

Produkt nazywa się SignalTrace. Sprzedawany przez Leonardo US Cyber and Security Solutions, uzupełnia serię ELSAG, jedną z najbardziej rozpowszechnionych linii automatycznych czytników tablic rejestracyjnych na rynku amerykańskim. Jego istnienie ujawnił 8 czerwca 2026 roku Joseph Cox w 404 Media, na podstawie karty produktu producenta.

Kluczowy punkt mieści się w jednym zdaniu: nie chodzi o nowe kamery. SignalTrace to czujnik radiowy dodawany do już zainstalowanych czytników tablic. Maszt się nie zmienia, lokalizacja się nie zmienia, sylwetka sprzętu przy drodze się nie zmienia. Zmienia się to, czego ten sprzęt słucha.

Czujnik rejestruje identyfikatory rozgłaszane otwartym tekstem przez protokoły Bluetooth, Wi-Fi i RFID urządzeń znajdujących się w pojeździe. Punkt techniczny często źle rozumiany: żadne urządzenie nie jest włamywane i żadna luka nie jest wykorzystywana. Urządzenie Bluetooth lub Wi-Fi stale wysyła ramki rozgłoszeniowe, ponieważ tak zaprojektowano te protokoły. Twoje słuchawki oznajmiają swoją obecność, żeby telefon mógł je odnaleźć, a ten telefon sam odpytuje otoczenie w poszukiwaniu znanych mu sieci. Te emisje są publiczne z założenia, a każdy odbiornik w zasięgu je słyszy.

Leonardo zresztą precyzuje, że system działa z czytnikiem tablic lub bez niego, także wewnątrz budynków, i rozpoznaje pojazd, którego tablica została zasłonięta lub zdjęta.

Doposażenie istniejącego sprzętu to prawdziwy temat polityczny. Instalacja nowej sieci kamer uruchamia głosowanie, debatę, czasem spór sądowy. Dodanie płytki elektronicznej do obudowy już zatwierdzonej nie uruchamia niczego. Zdolność nadzoru zmienia swoją naturę bez debaty publicznej, ponieważ materialnie nie ma nic nowego do zobaczenia.

Od pojazdu do osoby, i od osoby do grupy

Czytnik tablic odpowiada na jedno pytanie: gdzie był ten pojazd. SignalTrace dodaje dwa kolejne: kto w nim siedział i z kim.

Leonardo tego nie ukrywa, to argument sprzedażowy. System tworzy to, co dokumentacja nazywa odciskiem elektronicznym, zbiór identyfikatorów „często emitowanych razem". Przykład producenta jest jednoznaczny: w całym mieście tylko jeden pojazd połączy iPhone’a 13rev2, radio Audi, słuchawki Bose, zegarek Garmin, lokalizator kluczy i tablicę ABC-1234.

Produkt nie ogranicza się do śledzenia pojazdów. Automatycznie wytwarza graf relacji między osobami, bez konieczności sformułowania przez kogokolwiek najmniejszego podejrzenia.

To tutaj dokonuje się skok jakościowy. Korelując urządzenia, które regularnie podróżują razem, system mechanicznie buduje graf społeczny. Dwa telefony, które każdego ranka spotykają się w tym samym samochodzie, to wspólne dojazdy albo relacja, której żadna ze stron nie chce ujawniać. Pięćdziesiąt urządzeń zarejestrowanych w tym samym miejscu o tej samej godzinie to zgromadzenie: demonstracja, nabożeństwo, zebranie związkowe albo kolejka przed kliniką.

Żaden z tych wniosków nie wymaga dostępu do treści komunikacji. Wynika z tabeli bliskości, domyślnie, dla całej poruszającej się populacji, a nie dla wskazanych celów. To odpowiedzialność zbiorowa przez skojarzenie, wytwarzana przemysłowo, przed jakimkolwiek postępowaniem. Tom Bowman, prawnik z Center for Democracy & Technology, podsumowuje problem na łamach TechNewsWorld: to, co czyni narzędzie użytecznym w śledzeniu prawdziwego podejrzanego, czyni je równie zdolnym do śledzenia wszystkich pozostałych kierowców, z których żaden nie zgodził się na rejestrowanie swoich urządzeń.

Leonardo przeciwstawia dwa argumenty: system nie odszyfrowuje ani nie czyta treści komunikacji i sam z siebie nie identyfikuje osób. Oba twierdzenia są prawdziwe i oba są nie na temat. Poszukiwaną informacją nigdy nie była treść, tkwi ona w metadanej pozycji, bardziej wymownej niż wiadomość. Co do identyfikacji, sam producent przyznaje, że śledczy może powiązać sygnaturę elektroniczną z tablicą, a następnie dotrzeć do właściciela poprzez rejestry pojazdów.

Prawo amerykańskie napisane do czegoś innego

W Stanach Zjednoczonych istnieją stanowe przepisy regulujące czytniki tablic, a niektóre są wymagające co do okresów przechowywania i celów dostępu. Ale wszystkie zredagowano wokół jednego precyzyjnego przedmiotu: obrazu tablicy rejestracyjnej. Żaden nie przewiduje przechwytywania identyfikatorów urządzeń osobistych przez ten sam sprzęt.

Ta rozbieżność nie tworzy nielegalności, lecz szarą strefę, wygodniejszą dla sprzedawcy. Służba policyjna może utrzymywać, nie kłamiąc, że jej program czytników tablic jest dozwolony i zgodny z prawem, jednocześnie zbierając odtąd w tym samym reżimie dane o całkowicie odmiennym charakterze. Leonardo dysponuje ponadto kontraktami federalnymi, ze Special Operations Command i General Services Administration, czyli ścieżką zakupową, która w dużej mierze omija zgody lokalne.

Debata konstytucyjna właśnie drgnęła i trzeba tu precyzji, bo stan prawa zmienił się tego lata. W styczniu 2026 roku sąd federalny w Wirginii orzekł w sprawie Schmidt v. City of Norfolk, że miejska sieć kamer Flock nie stanowi przeszukania w rozumieniu czwartej poprawki, ponieważ nie obejmuje całości przemieszczeń mieszkańców. Orzeczenie jest w apelacji przed Czwartym Okręgiem, gdzie przystąpiła ACLU.

Następnie, 29 czerwca 2026 roku, Sąd Najwyższy wydał wyrok Chatrie v. United States. Stosunkiem pięć do czterech, pod piórem sędzi Kagan, orzekł, że uzyskanie przez policję danych lokalizacyjnych telefonu stanowi przeszukanie, ponieważ jednostka zachowuje uzasadnione oczekiwanie prywatności wobec tych danych, nawet gdy znajdują się u osoby trzeciej i nawet przez krótki okres. Wyrok przedłuża Carpenter v. United States z 2018 roku i osłabia doktrynę osoby trzeciej, jak zauważyło CDT.

Dokładny zasięg Chatrie wobec SignalTrace nie jest rozstrzygnięty i twierdzenie inaczej byłoby nieostrożne: wyrok dotyczy danych żądanych od Google’a, a nie bezpośredniego przechwytywania przez policyjny czujnik w przestrzeni publicznej. Ustanawia jednak rozumowanie, które się liczy, mianowicie że wrażliwość danej lokalizacyjnej nie zależy od tego, kto ją posiada.

Kwestia europejska, która jest kwestią prawdziwą

Tu sprawa staje się niewygodna dla Europy. Leonardo nie jest dostawcą amerykańskim, lecz włoską grupą notowaną w Mediolanie, której pierwszym akcjonariuszem jest włoskie Ministerstwo Gospodarki i Finansów, z około 30 % kapitału i prawem wskazania większości rady dyrektorów. Państwo włoskie nie jest biernym akcjonariuszem tego produktu.

Najpierw punkt techniczny

W prawie europejskim identyfikator urządzenia jest daną osobową. To nie opinia doktrynalna, lecz utrwalone stanowisko organów. CNIL wyraźnie traktuje adres MAC jako taki w swojej doktrynie dotyczącej systemów pomiaru natężenia ruchu i dopuszcza ich zbieranie w przestrzeni publicznej tylko pod ścisłymi warunkami: anonimizacja w ciągu kilku minut z wysokim wskaźnikiem kolizji między osobami albo wiarygodna pseudonimizacja z następującym po niej zniszczeniem w ciągu dwudziestu czterech godzin, w przeciwnym razie zgoda staje się obowiązkowa. Ta sama doktryna precyzuje, że zachęcanie ludzi do wyłączenia Wi-Fi nie jest dopuszczalną formą sprzeciwu.

Trybunał Sprawiedliwości Unii Europejskiej sprecyzował 4 września 2025 roku w sprawie EIOD przeciwko SRB (C-413/23 P), że osobowy charakter danej spseudonimizowanej ocenia się z uwzględnieniem rozsądnie możliwych do uruchomienia środków ponownej identyfikacji. Tymczasem tutaj posiadaczem jest organ policyjny, dysponujący rejestrami pojazdów. Środki ponownej identyfikacji nie są hipotetyczne, są w sąsiednim pokoju.

Niuans, który zmienia wszystko

Byłoby fałszem napisać, że SignalTrace „byłby nielegalny w Europie", i czytelnik prawnik zauważyłby to natychmiast. Przetwarzanie prowadzone przez właściwy organ do celów zapobiegania przestępczości i jej ścigania nie podlega RODO. Podlega dyrektywie (UE) 2016/680, zwanej dyrektywą policyjną, transponowanej odrębnie przez każde państwo członkowskie, we Francji w tytule III ustawy o ochronie danych. CNIL przypomina, że ten reżim jest autonomiczny, z własnymi podstawami legalności i własnymi prawami.

Właściwe pytanie nie dotyczy zatem abstrakcyjnej legalności, lecz warunków. W tym reżimie takie urządzenie zakładałoby wyraźną krajową podstawę prawną, określone cele, wykazaną niezbędność, ograniczony okres przechowywania, ocenę skutków i niezależną kontrolę. We Francji czytniki tablic są uregulowane właśnie tak: artykuły L233-1 i L233-1-1 kodeksu bezpieczeństwa wewnętrznego ustanawiają zamkniętą listę przestępstw otwierających drogę do ich użycia, a okres przechowywania pozostaje jednym z najkrótszych w Unii, co do zasady piętnaście dni, nawet jeśli senacki projekt ustawy próbuje go wydłużyć.

To zasadnicza różnica wobec sytuacji amerykańskiej. W Stanach Zjednoczonych prawo reguluje przedmiot, tablicę, a milczenie o identyfikatorach urządzeń oznacza przyzwolenie. W Europie prawo reguluje cele i kategorie danych, a to milczenie oznacza raczej zakaz, wobec braku wyraźnej podstawy prawnej. Luka stwierdzona za oceanem nie istnieje tutaj w tej samej formie. Nie dlatego, że Europa jest cnotliwsza: jej technika prawna jest odwrotna.

Ile zatem warta jest ochrona

Pozostaje pytanie, o które chodzi w tym artykule. Ile warta jest europejska ochrona regulacyjna, gdy europejskie przedsiębiorstwo, kontrolowane przez państwo członkowskie, sprzedaje poza Europą zdolność, której u siebie nie mogłoby wdrożyć bez nowej ustawy?

Zastrzeżenia zasługują na poważne potraktowanie. Przemysłowiec nie odpowiada za ramy prawne swojego klienta: to władze amerykańskie decydują, co dopuszczają u siebie. Produkt nie jest sprzedawany dyktaturze, lecz państwu prawa z aktywnym sądem najwyższym, o czym właśnie przypomniało Chatrie. A argument suwerenności przemysłowej jest zasadny: jeśli grupy europejskie zamkną sobie te rynki, zajmą je dostawcy izraelscy, amerykańscy lub chińscy, bez cofnięcia się nadzoru choćby o metr, a Europa straci przy tym swoją bazę technologiczną.

Te argumenty są dopuszczalne. Nie odpowiadają na problem.

Po pierwsze dlatego, że Unia już uznała, iż eksport środków nadzoru nie jest handlem jak każdy inny. Rozporządzenie (UE) 2021/821 w sprawie produktów podwójnego zastosowania wprowadziło w artykule 5 klauzulę zbiorczą obejmującą produkty cyberinwigilacji, ponieważ prawodawca przyznał, że narzędzie legalne w produkcji może być nieprawowite w miejscu przeznaczenia. Jego ograniczenie jest pouczające: uruchamia się wobec ryzyka represji wewnętrznych lub poważnych naruszeń praw człowieka, kategorii pomyślanych dla reżimów autorytarnych. Sprzedaż amerykańskiej policji miejskiej się w nich nie mieści. Europejska siatka bada moralność klienta, nigdy naturę sprzedawanej zdolności.

Po drugie dlatego, że taki produkt nie jest zapasem do wyprzedania, lecz zdolnością, którą się utrzymuje: finansuje badania, kształci inżynierów, gromadzi know-how i tworzy bazę zainstalowaną. W dniu, w którym poważny zamach skłoni państwo członkowskie do zażądania tej zdolności, debata nie będzie już dotyczyć zasadności jej budowy. Ona będzie istnieć, będzie europejska, będzie dojrzała, a jej dostawca będzie częściowo publiczny. Argument „tylko podążamy za rynkiem" staje się wtedy okrężny, ponieważ rynek krajowy zostanie przygotowany przez eksport.

Oto ile warta jest ochrona regulacyjna w tym scenariuszu: chroni Europejczyków przed zastosowaniami, nie przed istnieniem środków. Rozstrzyga kwestię, kto ma prawo nacisnąć przycisk, i zostawia przemysłowi budowanie go, sprzedawanie, ulepszanie, a potem czekanie.

Co można zrobić, bez opowiadania sobie bajek

Pierwszą przywoływaną odpowiedzią jest zawsze losowanie adresu MAC. Zasługuje na uczciwą ocenę, ani promocję, ani deprecjację. Jest realne i działa.

Android od wersji 10 i iOS od wersji 14 domyślnie losują adres MAC używany w Wi-Fi, z odrębnym adresem dla każdej sieci. W Bluetooth Low Energy nowoczesne urządzenia rozgłaszają rozwiązywalne adresy prywatne, które zmieniają się okresowo i mogą zostać powiązane z rzeczywistym urządzeniem tylko przez rozmówcę posiadającego klucz rozwiązywania.

Jego ograniczenia są równie realne.

Parowanie znów otwiera drzwi. Klucz rozwiązywania jest przekazywany podczas parowania. Urządzenie już sparowane lub wyraźnie zatwierdzone odnajduje stałą tożsamość za rotującym adresem. Mechanizm jest do tego stworzony.
Wiele przedmiotów nie losuje niczego. Czujniki ciśnienia w oponach, karty RFID, czipy identyfikacyjne zwierząt, radia samochodowe i tanie peryferia emitują stałe identyfikatory. Karta produktu Leonardo wymienia dokładnie te kategorie, co nie jest przypadkiem.
Losowanie da się wyłączyć. Wyłącza się je sieć po sieci i często jest wyłączone dla wygody, na potrzeby filtrowania MAC na domowym routerze albo z powodu polityki firmowej.
Grupa przeżywa rotację identyfikatorów. To punkt najmniej intuicyjny i najważniejszy. SignalTrace nie szuka identyfikatora, szuka zbioru urządzeń podróżujących razem. Jeśli choć jeden członek grupy emituje stały identyfikator, cały zbiór pozostaje przypisywalny, niezależnie od dyscypliny pozostałych.

Najskuteczniejszy środek pozostaje najnudniejszy: nie emitować. Zakłada to wyłączenie Bluetooth i Wi-Fi na poziomie systemu, w ustawieniach, a nie z panelu skrótów. Rozróżnienie nie jest kosmetyczne, opisaliśmy je szczegółowo w naszym artykule o nieustannej geolokalizacji telefonu: w większości systemów konsumenckich przycisk w panelu szybkiego dostępu przerywa widoczne parowanie, ale pozostawia stos programowy przy życiu, a analizy bliskości trwają dalej. Tamten artykuł opisywał skanowanie Bluetooth jako wektor teoretyczny. SignalTrace jest jego produktem komercyjnym, skatalogowanym i gotowym do dostawy.

Trzeba pozostać uczciwym co do rezultatu: te środki zmniejszają powierzchnię ekspozycji, nie znoszą jej. Pojazd pozostaje tablicą, a tablica pozostaje czytelna. Jedynym sposobem, by nic nie emitować, jest nic nie nosić, co nie jest polityką publiczną.

Co to mówi o naszych wyborach projektowych

W Arpokrat to właśnie to rozumowanie skłoniło nas do obsługi Bluetooth na poziomie Core systemu ArpokratOS, a nie na poziomie ustawień. Przełącznik w interfejsie to preferencja użytkownika: aktualizacja, aplikacja systemowa albo usługa lokalizacji mogą ją obejść lub ponownie włączyć, bez wiedzy użytkownika. Nieobecny stos nie da się ponownie włączyć.

Wobec przechwytywania takiego jak SignalTrace nie czyni to oczywiście urządzenia niewykrywalnym i nie twierdzimy tego: telefon pozostaje w sieci komórkowej, a pozostałe przedmioty w pojeździe emitują na własny rachunek. Gwarantuje to natomiast, że konkretny wektor emisji jest nieobecny z założenia, zamiast być wyłączony na zaufanie. To teza, której broniliśmy w tekście o 5G i błędzie celu w prawie: ochrona prawna skupia się na dostępie do danych, podczas gdy powinna dotyczyć samego istnienia infrastruktury, która je wytwarza. SignalTrace jest tego ilustracją, z tą różnicą, że ta infrastruktura powstaje w Europie.

Wnioski

Najbardziej uderzające w tej sprawie nie jest możliwość techniczna, którą badacze opisywali od lat. To metoda wdrożenia.

Nie będzie nowej sieci kamer do zainaugurowania, żadnej uchwały gminnej do zaskarżenia, żadnego przetargu publicznego rozpoznawalnego jako zmiana natury. Będą moduły dodane do istniejących masztów, w ramach istniejących umów, w programach już dopuszczonych. W dniu, w którym otworzy się debata publiczna, infrastruktura będzie zainstalowana, zamortyzowana i wbudowana w procedury śledcze. Debata będzie wtedy dotyczyć warunków dostępu do bazy, która istnieje, nigdy zasadności jej utworzenia.

Taki jest zwykły porządek rzeczy w kwestii nadzoru i nie jest on przypadkowy. Pozostaje ustalić, czy Europa uważa, że ma coś do powiedzenia, gdy jej właśni przemysłowcy, wsparci przez jej własne państwa, budują tę infrastrukturę dla innych. Prawo europejskie starannie zorganizowało odpowiedź na pytanie, kto może u nas przeglądać te dane. Nigdy nie postawiło pytania, kto ma prawo zbudować maszynę.

5G, dane lokalizacyjne i błąd celu w prawie

Tue, 18 Aug 2026 00:00:00 +0000

W 2011 roku policja z Detroit zwróciła się do operatora komórkowego o historię logowań telefonu Timothy’ego Carpentera do stacji bazowych. Otrzymała 12 898 punktów lokalizacyjnych rozłożonych na 127 dni, około stu dziennie. Siedem lat później Sąd Najwyższy Stanów Zjednoczonych orzekł, że takie żądanie stanowi przeszukanie i wymaga nakazu.

Te 12 898 punktów pochodziło z anten czwartej generacji, z których każda obejmowała promień kilku kilometrów. To samo żądanie skierowane dziś do miejskiej sieci 5G nie zwróciłoby stu punktów dziennie z dokładnością do kilku kilometrów. Zwróciłoby wolumen znacznie większy, z dokładnością do kilkudziesięciu metrów.

Technologia zmieniła skalę. Rozumowanie prawne pozostało w tym samym miejscu łańcucha.

Dobro prawne uznawane przez sądy po obu stronach Atlantyku

Istnieje interes, który przyznaje niemal każdy, a którego niemal żaden przepis nie chroni skutecznie: prawo do przebywania gdzieś bez rejestrowania tego faktu.

Orzecznictwo europejskie ustaliło to jednoznacznie. W sprawie Digital Rights Ireland (sprawy połączone C-293/12 i C-594/12, 8 kwietnia 2014 r.), a następnie w Tele2 Sverige i Watson (sprawy połączone C-203/15 i C-698/15, wielka izba, 21 grudnia 2016 r.) Trybunał Sprawiedliwości Unii Europejskiej orzekł, że dane te, rozpatrywane łącznie, pozwalają wyciągnąć bardzo precyzyjne wnioski o życiu prywatnym osób: nawyki dnia codziennego, miejsca pobytu, przemieszczanie się, wykonywane czynności i relacje społeczne.

Sąd Najwyższy Stanów Zjednoczonych doszedł do zbliżonego wniosku w sprawie Carpenter v. United States, 585 U.S. 296 (2018). Podkreślił punkt szeroko komentowany w amerykańskiej doktrynie: nieunikniony i automatyczny charakter tego zbierania. Nikt nie wyraża zgody na zalogowanie do stacji bazowej; jest do niej zalogowany dlatego, że ma włączony telefon.

Dobro prawne zatem istnieje i jest uznawane przez dwa sądy, które w tej dziedzinie się liczą. Problem leży gdzie indziej.

Co naprawdę zmieniło 5G

Powszechne nieporozumienie polega na traktowaniu lokalizacji jako danej, którą telefon przesyła, tak samo jak wiadomość czy zdjęcie. Tak nie jest. Lokalizacja to fizyczna konsekwencja działania sieci. Operator wie, do której anteny podłączone jest urządzenie, ponieważ musi to wiedzieć, aby skierować połączenie. Nie istnieje żaden klucz pozwalający zaszyfrować tę informację, gdyż nie jest ona treścią, lecz właściwością samego połączenia.

To właśnie czyni 5G istotnym w wymiarze prawnym, a nie technicznym.

Wcześniejsze architektury opierały się na szerokich komórkach. Antena 4G obsługuje zwykle promień kilku kilometrów, a pozycja wywnioskowana z samego zalogowania liczona była w setkach metrów w mieście, czasem w dziesiątkach kilometrów na wsi. 5G opiera się na masowym zagęszczeniu: komórki miejskie obejmują zazwyczaj kilkaset metrów, a literatura inżynierska zakłada gęstości rzędu czterdziestu do pięćdziesięciu stacji bazowych na kilometr kwadratowy, wobec czterech czy pięciu w epoce 3G.

Konsekwencja jest mechaniczna. Według białej księgi Ericssona o pozycjonowaniu 5G infrastruktura wdrożona wyłącznie dla łączności osiąga dokładność od dwudziestu do pięćdziesięciu metrów na zewnątrz i od jednego do trzech metrów wewnątrz budynków, a w sprzyjających warunkach miejskich schodzi poniżej metra. Nie chodzi o gdzieś włączoną funkcję lokalizacji, lecz o to, co sieć wie z samej swojej konstrukcji, bez zainstalowanej aplikacji i bez udzielonego uprawnienia. Wszystkie te mechanizmy, wraz ze środkami zaradczymi, które naprawdę działają, opisaliśmy szczegółowo w artykule o stałej geolokalizacji telefonu.

Ingerencja wzrosła zatem o kilka rzędów wielkości. Obowiązujące ramy prawne pozostają tymi pomyślanymi dla 2G i 3G. Żadne dostosowanie normatywne nie towarzyszyło tej zmianie skali.

Prawo chroni dostęp, nie powstawanie

Prawo europejskie starannie reguluje, kto może uzyskać dostęp do danych lokalizacyjnych, na jakich warunkach i pod jaką kontrolą. Dyrektywa 2002/58/WE ustanawia zasadę poufności komunikacji, a Trybunał Sprawiedliwości orzekł w sprawie La Quadrature du Net (sprawy połączone C-511/18, C-512/18 i C-520/18, wielka izba, 6 października 2020 r.), że art. 15 ust. 1 tej dyrektywy, odczytywany w świetle art. 7, 8, 11 i 52 ust. 1 Karty, stoi na przeszkodzie uogólnionemu i niezróżnicowanemu zatrzymywaniu danych o ruchu i danych o lokalizacji w celach prewencyjnych. Trybunał dopuścił jednak ograniczone odstępstwa, gdy państwo członkowskie stoi w obliczu poważnego zagrożenia bezpieczeństwa narodowego, które okazuje się rzeczywiste i aktualne lub przewidywalne, pod warunkiem skutecznej kontroli.

To realne gwarancje i absurdem byłoby je pomniejszać. Ale wszystkie wkraczają po fakcie. Zakładają, że dana istnieje, że jest przechowywana, a następnie porządkują warunki jej wykorzystania.

Jeśli jednak lokalizacja jest nieuniknionym produktem ubocznym działania sieci, właściwym punktem interwencji nie jest poufność. Jest nim trwałość.

Chwilowa pozycja, niezbędna do zestawienia połączenia i skasowana zaraz potem, nie jest narzędziem inwigilacji. Historia pozycji przechowywana przez miesiące nim jest, niezależnie od otaczających ją gwarancji dostępu.

Różnica między nimi nie jest prawna, lecz architektoniczna. A europejski kalendarz czyni tę kwestię pilną, a nie teoretyczną. Komisja wycofała projekt rozporządzenia ePrivacy w 2025 roku wobec braku porozumienia współprawodawców. Od tego czasu pracuje nad odrębnym instrumentem dotyczącym zatrzymywania danych na potrzeby postępowań karnych, zapowiedzianym na 2026 rok i mającym zharmonizować reżimy krajowe, które stały się rozbieżne po unieważnieniu dyrektywy z 2006 roku. Innymi słowy, tekst, który na dekadę ustali reżim metadanych lokalizacyjnych, powstaje właśnie teraz, na podstawie rozumowania wypracowanego w czasach komórek o zasięgu kilometrów.

Precedens, który 5G stworzyło samo

Najciekawsze w tej sprawie jest to, że właściwa odpowiedź już figuruje w normie technicznej, tyle że zastosowana do innego przedmiotu.

Aż do 4G stały identyfikator abonenta, IMSI, przesyłany był otwartym tekstem przez interfejs radiowy podczas logowania. To właśnie umożliwiło działanie IMSI catcherów, owych fałszywych stacji bazowych, które według referencyjnego opisu Electronic Frontier Foundation nadają mocniej niż legalne anteny, by przyciągnąć terminale i przechwycić ich identyfikator.

Od Release 15 specyfikacji 3GPP, opublikowanej w 2019 roku, 5G przynosi eleganckie rozwiązanie. Stały identyfikator, nazywany teraz SUPI, może zostać zastąpiony na interfejsie radiowym przez SUCI, identyfikator ukryty, uzyskany przez zaszyfrowanie części właściwej abonentowi za pomocą kryptografii krzywych eliptycznych, kluczem publicznym operatora macierzystego. Odszyfrować go może wyłącznie sieć macierzysta, która posiada odpowiadający klucz prywatny. Wynik jest niepowtarzalny przy każdym obliczeniu, co uniemożliwia korelację między sesjami.

Przyjęta logika zasługuje na podkreślenie, ponieważ jest dokładnie tą, którą powinien kierować się prawodawca: nie szyfruje się pozycji, co byłoby technicznie niemożliwe, szyfruje się tożsamość. Pozycja pozbawiona przypisywalnej tożsamości ma bardzo ograniczoną wartość dla inwigilacji zindywidualizowanej.

Luka: ochrona fakultatywna

Istnieje jednak poważne zastrzeżenie i jest to naszym zdaniem najbardziej konkretny punkt interwencji w całej sprawie.

Biała księga NIST CSWP 36A, opublikowana w marcu 2026 roku przez National Institute of Standards and Technology, mówi to wprost. Terminale i funkcje sieciowe zgodne z Release 15 lub późniejszą są zobowiązane obsługiwać SUCI, ale jego włączenie pozostaje fakultatywne dla operatora. Muszą być spełnione trzy warunki: producent sprzętu musi go obsługiwać, operator musi go włączyć w swojej sieci, a karta SIM musi zawierać elementy niezbędne do obliczenia.

Dochodzi do tego pułapka konfiguracyjna. Norma przewiduje zerowy schemat ochrony, w którym format SUCI jest formalnie stosowany, lecz bez rzeczywistego szyfrowania, wskutek czego identyfikator wędruje otwartym tekstem. NIST pisze, że operator musi skonfigurować swoją sieć ze schematem ochrony niezerowym, i przypomina, że raport CSRIC, organu doradczego Federal Communications Commission, już w 2021 roku zalecał zarezerwowanie schematu zerowego wyłącznie dla połączeń alarmowych z terminala nieznanego sieci.

Warto zostawić to sformułowanie takim, jakie jest. Najlepsza dostępna ochrona przed śledzeniem terminali mobilnych istnieje w normie technicznej od 2019 roku. Opiera się na wyborze konfiguracyjnym pozostawionym uznaniu operatora. Amerykańska agencja federalna uznaje za stosowne opublikować w 2026 roku dokument przypominający, że należałoby ją włączyć. I żaden europejski instrument prawny jej nie nakazuje.

Trzeba dodać, że SUCI nie zamyka tematu. Prace przedstawione pod tytułem 5G SUCI-catchers: still catching them all? dokumentują ataki powiązaniowe pozwalające ponownie skorelować sesje mimo szyfrowania, a ochrona upada całkowicie, jeśli atakujący zmusi terminal do przejścia na wcześniejszą generację. Obowiązek prawny nie rozwiązałby więc wszystkiego. Zlikwidowałby jednak rozziew, dla którego nie ma żadnego dającego się obronić uzasadnienia: ten między tym, na co pozwala norma, a tym, co robią sieci komercyjne.

Trzy spójne interwencje

Jeśli poważnie potraktować myśl, że lokalizację należy minimalizować już na etapie projektowania, a nie chronić po fakcie, logicznie narzucają się trzy środki.

Uczynić obowiązkowym rzeczywiste ukrycie identyfikatora. Nakazać włączenie SUCI i zakazać zerowych schematów ochrony w sieciach komercyjnych, poza szczątkowym przypadkiem połączeń alarmowych. Nie chodzi o narzucanie nowej technologii ani o finansowanie wdrożenia, lecz o wymóg włączenia funkcji znormalizowanej od siedmiu lat i już obecnej w sprzęcie.
Traktować przechowywanie jako wyjątek, a nie ustawienie domyślne. Pozycja niezbędna do zestawienia połączenia powinna być kasowana, gdy tylko ta funkcja zostanie spełniona. Tworzenie historii powinno wymagać szczególnego uzasadnienia. To różnica między siecią, która wie, gdzie jesteś, a siecią, która pamięta, gdzie byłeś.
Uczynić pieczę nad kluczem właściwym łącznikiem. Umiejscowienie serwerów w Unii niewiele znaczy, jeśli klucze pozwalające uczynić dane zrozumiałymi znajdują się gdzie indziej. Kryterium prawnie istotnym powinno być faktyczne władztwo nad środkami deszyfrowania, kwestia, którą szczegółowo zbadaliśmy przy okazji konfliktu między Data Act a CLOUD Act.

Perspektywa, którą przyjmuje Arpokrat

To rozumowanie nie jest właściwe wyłącznie prawu telekomunikacyjnemu. Stosujemy je do własnych decyzji architektonicznych i mieści się ono w jednym zdaniu: to, co nie zostało wytworzone, nie wymaga ochrony.

Dlatego ArpokratOS usuwa GPS, Bluetooth i NFC na poziomie jądra, zamiast wyłączać je w menu. Przełącznik jest polityką: może zostać obejściem przez komponent uprzywilejowany, ponownie włączony przez aktualizację, zignorowany przez skompromitowany system. Usunięcie ścieżki kodu likwiduje samo pytanie. To przeniesienie, w skali urządzenia, tego samego przesunięcia, którego domagamy się w skali prawa: interweniować przy powstawaniu, a nie przy dostępie.

Trzeba od razu powiedzieć, czego to nie robi. Żaden system operacyjny nie wyjmuje terminala z geometrii sieci. Dopóki karta SIM jest aktywna, operator zna komórkę zalogowania, a przepuszczenie całego ruchu przez Tor nic tu nie zmienia, ponieważ chroni ono treść i miejsce docelowe, a nie warstwę radiową. Właśnie dlatego temat jest prawny. Istnieje kategoria ryzyk, których nie zmniejsza żadna indywidualna konfiguracja i dla których jedyną dostępną zmienną jest reguła obowiązująca operatora.

Ta sama troska rządzi resztą naszej pracy. Dana, która nie istnieje, nie może zostać zarekwirowana, odsprzedana, wyprowadzona ani odszyfrowana za dziesięć lat przez maszynę, którą dziś nikt nie dysponuje, kwestia, którą omówiliśmy pod kątem szyfrowania zbieranego teraz i łamanego później.

Wnioski

Debata publiczna o inwigilacji mobilnej koncentruje się niemal wyłącznie na dostępie: kto może przeglądać dane, na jakiej podstawie, za czyim zezwoleniem. Ta debata jest uprawniona, a orzeczenia wydane od 2014 roku przez Trybunał Sprawiedliwości przyniosły wymierne skutki. Ale wkracza zbyt późno w łańcuchu.

Pytanie wcześniejsze i bardziej rozstrzygające brzmi, czy historia w ogóle powinna istnieć. Baza utworzona dziś w uzasadnionym celu pozostaje jutro dostępna dla innego, a otaczające ją gwarancje zależą od późniejszych decyzji politycznych, nad którymi w chwili zbierania nikt nie panuje. To zakład o stabilność instytucji, zawarty na okres, którego nikt nie wyznacza.

5G zwielokrotniło rozdzielczość tej informacji, choć nie nastąpiło żadne dostosowanie normatywne. Jednocześnie pokazało, poprzez mechanizm SUCI, że wykonalną drogą jest oddzielenie pozycji od tożsamości, a nie próba zaszyfrowania fizycznej właściwości sieci. Norma techniczna dostarczyła odpowiedzi siedem lat wcześniej, nim prawo postawiło pytanie.

Europejski tekst o zatrzymywaniu danych powstaje teraz. Będzie dotyczył metadanych, a więc lokalizacji, a więc tego, co 5G wytwarza dziś z dokładnością, jakiej jego redaktorzy nie znali. To, czy poprzestanie na uporządkowaniu dostępu do historii przyjętej za oczywistość, czy też odważy się zapytać o konieczność tej historii, jest prawdopodobnie najważniejszym pytaniem o prywatność w Europie na najbliższe lata. I jest to pytanie, które sektor techniczny, tym razem, rozstrzygnął już we właściwą stronę.

Źródła

Trybunał Sprawiedliwości Unii Europejskiej, Digital Rights Ireland, sprawy połączone C-293/12 i C-594/12, 8 kwietnia 2014 r.
Trybunał Sprawiedliwości Unii Europejskiej, Tele2 Sverige i Watson, sprawy połączone C-203/15 i C-698/15, wielka izba, 21 grudnia 2016 r.
Trybunał Sprawiedliwości Unii Europejskiej, La Quadrature du Net i in., sprawy połączone C-511/18, C-512/18 i C-520/18, wielka izba, 6 października 2020 r.
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, marzec 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta i in., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act vs CLOUD Act: kto naprawdę kontroluje Twoje dane w chmurze?

Fri, 19 Jun 2026 00:00:00 +0000

Przez lata świat funkcjonował na podstawie prostego założenia: dane mają określone miejsce fizycznego przechowywania. Jeśli znajdowały się na serwerze w Dublinie, podlegały prawu irlandzkiemu i europejskiemu. Założenie to legło w gruzach w 2018 roku, gdy Stany Zjednoczone uchwaliły CLOUD Act — ustawę przyznającą amerykańskim organom dostęp do danych kontrolowanych przez amerykańskie firmy, niezależnie od tego, gdzie dane te są fizycznie przechowywane na świecie. Kilka lat później Bruksela odpowiedziała własnym instrumentem ochronnym: Data Act, który jest już w pełni stosowany i który stara się ograniczyć eksterytorialny dostęp organów państw trzecich do danych przechowywanych w Unii Europejskiej.

Oto co te dwa akty prawne rzeczywiście przewidują, gdzie dochodzi do ich kolizji oraz dlaczego jedyną naprawdę solidną ochroną w obliczu tego konfliktu pozostaje techniczna niemożność dostępu.

Amerykański CLOUD Act: dostęp oparty na kontroli, a nie na lokalizacji

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), uchwalony w marcu 2018 roku, znowelizował prawo amerykańskie, dodając przepis 18 U.S. Code § 2713. Nakłada on na każdego dostawcę usług łączności elektronicznej lub przetwarzania danych w chmurze obowiązek zachowania, zabezpieczenia lub ujawnienia treści komunikacji lub wszelkich powiązanych zapisów, jeśli dane te są w jego posiadaniu, pod jego opieką lub kontrolą, niezależnie od tego, czy dane te znajdują się wewnątrz czy poza granicami Stanów Zjednoczonych.

To właśnie ta ostatnia klauzula zmienia wszystko. Przyjętym kryterium nie jest już fizyczna lokalizacja serwera, lecz kontrola sprawowana przez spółkę matkę nad jej spółkami zależnymi. Amerykańska firma prowadząca centra danych w Europie pozostaje zatem objęta amerykańskimi nakazy ujawnienia, nawet w odniesieniu do danych przechowywanych w całości na terytorium Europy.

Europejski Data Act: prawna bariera dla eksterytorialnego dostępu

Rozporządzenie (UE) 2023/2854, zwane Data Act, weszło w życie 11 stycznia 2024 roku i jest w pełni stosowane od 12 września 2025 roku, przy czym niektóre przepisy są stopniowo wdrażane do 2026 i 2027 roku. Jego artykuł 32 bezpośrednio reguluje kwestię międzynarodowego dostępu rządowego do danych.

Tekst ustanawia jasną zasadę: wszelkie orzeczenia lub decyzje sądu lub organu administracyjnego państwa trzeciego zobowiązujące dostawcę usług przetwarzania danych do przekazania lub udostępnienia danych nieosobowych przechowywanych w Unii Europejskiej są uznawane i wykonalne wyłącznie wtedy, gdy opierają się na umowie międzynarodowej, takiej jak umowa o wzajemnej pomocy prawnej (MLA), obowiązującej między państwem wnioskującym a Unią lub między tym państwem a danym państwem członkowskim.

W przypadku braku takiej umowy artykuł 32 przewiduje drugą ścieżkę, lecz ściśle uregulowaną: zagraniczna decyzja może zostać wykonana wyłącznie wtedy, gdy system prawny państwa trzeciego wymaga, aby wniosek był uzasadniony, proporcjonalny i wystarczająco konkretny — na przykład poprzez wyraźne wskazanie związku z określonymi osobami lub naruszeniami — oraz jeżeli umotywowany sprzeciw adresata może być poddany kontroli właściwego sądu tego państwa trzeciego.

Bezpośrednia kolizja prawna

Problem jest natychmiastowy: CLOUD Act wymaga ujawnienia danych na podstawie kontroli sprawowanej przez spółkę matkę, bez warunku proporcjonalności porównywalnego z tym wymaganym przez prawo europejskie. Data Act, przeciwnie, uzależnia uznanie takiego wniosku od istnienia umowy międzynarodowej lub od spełnienia konkretnych wymogów proceduralnych. Amerykańska firma działająca w Europie, wzywana przez organ amerykański do przekazania danych przechowywanych w Unii, znajduje się zatem w kleszczach dwóch sprzecznych zobowiązań prawnych: dostosować się do nakazu amerykańskiego, naruszając prawo Unii, lub przestrzegać Data Act, narażając się na konsekwencje odmowy w Stanach Zjednoczonych.

To napięcie nie jest teoretyczne. Zostało ono już udokumentowane przez Trybunał Sprawiedliwości Unii Europejskiej (TSUE) w dwóch przełomowych orzeczeniach: Schrems I (2015) i Schrems II (2020). W wyroku Schrems II TSUE stwierdził, że nadzór prowadzony przez Stany Zjednoczone na podstawie sekcji 702 FISA (Foreign Intelligence Surveillance Act) i rozporządzenia wykonawczego 12333 nie spełnia minimalnych gwarancji wymaganych przez prawo Unii w świetle zasady proporcjonalności i nie może być uznany za ograniczony do tego, co jest ściśle niezbędne. Trybunał stwierdził również brak skutecznej drogi sądowej dla osób, których dane dotyczą, z Unii, co stanowi naruszenie art. 47 Karty praw podstawowych. Orzeczenie to unieważniło ramy Tarczy Prywatności, która do tamtej pory regulowała przepływy danych między UE a Stanami Zjednoczonymi.

Ryzyko strukturalne: Harvest Now, Decrypt Later

Poza konfliktem jurysdykcji, na dane przechowywane w infrastrukturach podlegających prawu amerykańskiemu ciąży bardziej podstępne zagrożenie: strategia zwana Harvest Now, Decrypt Later (HNDL). Polega ona na tym, że służby wywiadowcze lub wrogi podmiot państwowy przechwytują i przechowują już dziś zaszyfrowane dane, czekając na wystarczające możliwości obliczeń kwantowych, które pozwolą je odszyfrować w przyszłości.

Strategia ta przekształca każdą przedłużającą się zależność od amerykańskiej infrastruktury chmurowej w odroczone zobowiązanie bezpieczeństwa: to, co jest dziś poufne, może stać się czytelne za dziesięć lub piętnaście lat, bez żadnych dodatkowych działań ze strony atakującego — wystarczy czas i cierpliwość.

Dlaczego jedynie techniczna niemożność stanowi prawdziwą gwarancję

Analiza prawna prowadzi do wniosku podzielanego przez wielu ekspertów ds. zgodności: bez względu na to, jak solidne są ramy prawne Data Act, pozostaje on tekstem, który geopolityczne układy sił i naciski dyplomatyczne mogą obejść, opóźnić lub reinterpretować. Jedyną ochroną, która nie zależy od żadnych przyszłych negocjacji, jest techniczna niemożność wykonania.

Architektura zero knowledge, w której dostawca nie posiada ani nie przechowuje kluczy deszyfrowania, czyni nakaz materialnie bezskutecznym. Nie można być zmuszonym do wydania czegoś, czego się nigdy nie posiadało.

To właśnie ta logika leży u podstaw ekosystemów takich jak Arpokrat:

Neutralizacja jurysdykcyjna: infrastruktura jest hostowana w Szwajcarii, pod reżimem federalnej ustawy o ochronie danych (LPD/FADP), poza bezpośrednim zakresem eksterytorialności CLOUD Act
Brak przechowywania: architektura zero knowledge pozbawia dostawcę wszelkiej możliwości wydania kluczy lub treści, których nigdy nie posiadał
Redukcja śladu tożsamościowego: eliminując obowiązek rejestracji za pomocą numeru telefonu lub adresu e-mail — identyfikatorów, które nadzór oparty na sekcji 702 FISA może łatwo śledzić — użytkownik przestaje być identyfikowalnym abonentem, stając się anonimowym kluczem kryptograficznym

Łańcuch pieczy nie kończy się na szyfrowaniu wiadomości

Kwestia często niedoceniana w analizach zgodności: nie wystarczy szyfrować treści komunikacji, jeśli bazowy system operacyjny — czy to Android, czy iOS — nadal przechwytuje metadane lub dane telemetryczne na poziomie jądra systemu, przesyłając je do serwerów podlegających jurysdykcji amerykańskiej. Ochrona tajemnicy wymaga całkowitego zamknięcia łańcucha pieczy — od treści aż po samą infrastrukturę sprzętową.

Właśnie dlatego suwerenność cyfrowa wymaga również refleksji nad używanym systemem operacyjnym, a nie tylko nad aplikacjami do przesyłania wiadomości. Systemy odgoogleowane, w których moduły takie jak Bluetooth lub geolokalizacja GNSS mogą być wyłączane bezpośrednio na poziomie jądra, eliminują fizyczne wektory ataku, których żadne szyfrowanie aplikacyjne nie jest w stanie zrekompensować.

Kryptografia post-kwantowa — horyzont, który jest już w zasięgu

W obliczu zagrożenia ze strony strategii HNDL, przyjęcie standardów kryptografii post-kwantowej (PQC) staje się koniecznością dla każdego, kto chce zagwarantować poufność wrażliwych danych w długim horyzoncie czasowym — niezależnie od tego, czy chodzi o tajemnice handlowe, korespondencję zawodową czy dane dotyczące zdrowia. Szyfrowanie uznawane dziś za solidne według klasycznych standardów nie gwarantuje, że oprze się możliwościom obliczeniowym komputerów kwantowych spodziewanym w ciągu najbliższych piętnastu lat.

Konflikt między Data Act a CLOUD Act ilustruje szerszą rzeczywistość: suwerenności cyfrowej nie można już budować wyłącznie na tekstach prawnych, bez względu na to, jak solidne by one były. Wymaga ona zamknięcia łańcucha pieczy na każdym poziomie — od protokołu szyfrowania, przez jurysdykcję hostingu, aż po sam system operacyjny. To właśnie to warstwowe podejście, a nie zaufanie opierające się na jednym ramach regulacyjnych, definiuje dziś prawdziwą suwerenność cyfrową przez projekt.

Koniec prywatności? Backdoors, Online Safety Act i odpowiedź suwerennych ekosystemów

Wed, 10 Jun 2026 00:00:00 +0000

Londyn stał się epicentrum globalnej bitwy o przyszłość cyfrowej prywatności. Wraz z przyjęciem ustawy Online Safety Act 2023 (OSA) oraz niedawnymi propozycjami rewizji ustawy Investigatory Powers Act (IPA) — nazywanej przez jej krytyków „Kartą Szpiegów” —, brytyjski rząd przyznaje sobie prawo do nakładania obowiązków inwigilacyjnych w samym sercu prywatnej komunikacji. Punktem krytycznym jest uprawnienie przyznane regulatorowi OFCOM do żądania od platform wdrożenia „akredytowanej technologii” w celu wykrywania materiałów przedstawiających seksualne wykorzystywanie dzieci (CSEA) lub terroryzm, w tym wewnątrz komunikacji szyfrowanej typu end-to-end.

Dla dużych platform cyfrowych przesłanie z Westminsteru jest jednoznaczne: albo ułatwią państwu dostęp do swoich infrastruktur, albo narażą się na kary sięgające 10% ich globalnego obrotu. Reakcja była natychmiastowa: usługi takie jak Signal i WhatsApp publicznie zagroziły wycofaniem się z brytyjskiego rynku, odmawiając naruszenia bezpieczeństwa swoich użytkowników w celu zaspokojenia jednej jurysdykcji. Argument techniczny jest trudny do podważenia: nie istnieje klucz uniwersalny (master key) zarezerwowany wyłącznie dla legalnych podmiotów. Otwarte drzwi dla organów ścigania są, z założenia, otwartymi drzwiami dla cyberprzestępców i zagranicznych służb wywiadowczych.

Model biznesowy wielkich platform: strukturalna przeszkoda dla Zero-Knowledge

Opór wielkich platform przed wdrożeniem szyfrowania typu Zero-Knowledge nie wynika z niezdolności technicznej, lecz z fundamentalnej niezgodności ekonomicznej. Firmy takie jak Alphabet i Meta opierają się na modelach monetyzacji opartych na systematycznym zbieraniu danych behawioralnych. Model ten jest zresztą pośrednio uznany przez Akt o rynkach cyfrowych (DMA) Unii Europejskiej, który klasyfikuje tych „strażników dostępu” (gatekeepers) jako podmioty, których dominująca pozycja jest napędzana właśnie przez akumulację danych na niespotykaną skalę. Dla tych graczy przyjęcie architektury Zero-Knowledge oznaczałoby pozbawienie ich systemów reklamowych ciągłej identyfikacji użytkowników, która stanowi ich paliwo. Nie jest to więc wybór techniczny, ale kompromis między prywatnością użytkowników a żywotnością ich modelu biznesowego.

Ryzyko strategiczne: zagrożenie „Harvest Now, Decrypt Later”

Poza debatą na temat prywatności, osłabienie szyfrowania podnosi kwestię bezpieczeństwa narodowego o zupełnie innym zasięgu. Strategia znana jako Harvest Now, Decrypt Later (HNDL) polega na przechwytywaniu i przechowywaniu przez państwowych adwersarzy masowych ilości zaszyfrowanej komunikacji dzisiaj, w oczekiwaniu na przyszłe możliwości deszyfrowania kwantowego. Osłabiając obecne standardy szyfrowania, brytyjskie ramy prawne obiektywnie ułatwiają tego typu operacje przeciwko komunikacji rządowej, dyplomatycznej czy przemysłowej.

Właśnie w tym kontekście deficytu zaufania ekosystemy takie jak Arpokrat zyskują operacyjne znaczenie. Działając w reżimie szwajcarskiej federalnej ustawy o ochronie danych (LPD/FADP), z architekturą, która ne gromadzi żadnych cywilnych identyfikatorów, Arpokrat oferuje techniczne zerwanie z infrastrukturami podlegającymi jurysdykcji brytyjskiej — gwarantując, że system pozostaje głuchy na nakazy przewidziane przez OSA.

Konflikt norm: OSA i IPA kontra prawo europejskie

Analiza prawna nowych brytyjskich prerogatyw państwowych ujawnia bezpośrednie zderzenie z fundamentami prawa europejskiego w zakresie ochrony danych i poufności komunikacji.

OSA kontra zakaz ogólnej inwigilacji

Artykuł 121 ustawy OSA wprowadza możliwość wydawania przez OFCOM nakazów zmuszających platformy do wdrożenia skanowania po stronie klienta (client-side scanning). Środek ten jest bezpośrednio sprzeczny z zasadą, wywodzącą się l prawem europejskim i zawartą w orzecznictwie TSUE, zakazującą ogólnych obowiązków nadzorczych. Narzucając „podatność z założenia” (vulnerability by design), stawia on również firmy w sytuacji podwójnego wiązania: osłabiając swoje bezpieczeństwo w celu dostosowania się do mandatu państwowego, uchybiają one obowiązkowi zagwarantowania poziomu bezpieczeństwa odpowiedniego do przetwarzania, zapisanemu w artykule 32 RODO.

Dyrektywa ePrivacy a poufność komunikacji

Skanowanie prywatnych wiadomości stoi w bezpośredniej sprzeczności z artykułem 5, paragraf 1 Dyrektywy 2002/58/WE (ePrivacy), która zobowiązuje państwa członkowskie do zagwarantowania poufności komunikacji elektronicznej i zakazuje wszelkiej formy przechwytywania lub inwigilacji bez wyraźnej zgody zainteresowanych użytkowników.

Technical Capability Notices i blokowanie aktualizacji bezpieczeństwa

W reżimie ustawy IPA 2016 rząd brytyjski zamierza teraz używać nakazów Technical Capability Notices (TCN) do sprzeciwiania się aktualizacjom bezpieczeństwa przed ich wdrożeniem. Mechanizm ten tworzy niemożliwy do rozwiązania konflikt z obowiązkiem, nałożonym przez artykuł 32 RODO, zapewnienia ciągłego bezpieczeństwa systemów przetwarzania — obowiązkiem, który wymaga precyzyjnie zdolności do wdrażania poprawek (patches) bez zwłoki i zewnętrznej ingerencji.

Ryzyka zgodności dla firm prowadzących działalność w Europie

Rewizje IPA mają na celu zmuszenie firm do powiadamiania rządu brytyjskiego o wszelkich modyfikacjach technicznych wpływających na bezpieczeństwo przed ich wdrożeniem, przyznając mu tym samym prawo weta wobec ewolucji produktów. Ta ingerencja tworzy znaczną niestabilność prawną dla dostawców działających na rynku europejskim: brytyjska adekwatność do prawa europejskiego — i tak już krucha — mogłaby zostać podana w wątpliwość, gdyby Wielka Brytania przestała gwarantować ochronę zasadniczo równoważną z RODO. Transfery danych do Wielkiej Brytanii w tych nowych ramach mogłyby w konsekwencji narazić firmy na sankcje z tytułu RODO.

Obrona przez techniczną niemożliwość: zasada Zero-Knowledge jako tarcza prawna

Międzynarodowe orzecznictwo, skonsolidowane wyrokami Schrems I i Schrems II TSUE, ustanowiło decydującą zasadę: jedynym solidnym zabezpieczeniem przed nieproporcjonalną inwigilacją jest techniczna niemożliwość uzyskania do niej dostępu. Architektury Zero-Knowledge realizują tę zasadę w trzech warstwach ochrony:

Brak pieczy: ponieważ platforma nie posiada kluczy deszyfrujących, jakikolwiek nakaz skanowania wiadomości jest technicznie bezprzedmiotowy;
Suwerenność systemu operacyjnego: kontrola nad ArpokratOS eliminuje telemetrię, która napędza zbieranie danych wywiadowczych na poziomie urządzenia;
Szwajcarskie zakotwiczenie jurysdykcyjne: hostując swoją infrastrukturę w Szwajcarii, Arpokrat działa w reżimie prawnym wymagającym indywidualnych i uzasadnionych wniosków o wzajemną pomoc prawną, co neutralizuje automatyczne wykonywanie masowych skanów przewidzianych przez OSA.

Podsumowanie

Przepisy OSA i rewizje IPA stanowią zagrożenie nie tylko dla prywatności jednostek: reprezentują one naruszenie pewności prawnej dla wszystkich europejskich danych przechodzących przez infrastruktury podlegające jurysdykcji brytyjskiej. Legitymizując osłabienie szyfrowania w imię bezpieczeństwa publicznego, Londyn paradoksalnie naraża swoich sojuszników i partnerów handlowcych na ryzyko szpiegostwa przemysłowego i państwowego, któremu architektury Zero-Knowledge mają precyzyjnie zapobiegać.

Integralność komunikacji zawodowej i instytucjonalnej wymaga obecnie strukturalnej odpowiedzi: migracji w kierunku zdecentralizowanych ekosystemów gwarantujących suwerenność cyfrową, od poziomu kodu aż po zakotwiczenie jurysdykcyjne.

Bomba Zegarowa: Zbierz teraz, odszyfruj później i Imperatyw Zero-Knowledge

Tue, 26 May 2026 00:00:00 +0000

Zależność europejskich rządów od amerykańskiej infrastruktury chmurowej to nie tylko problem natychmiastowego przechwycenia. Najbardziej niszczycielskim zagrożeniem na nadchodzące dekady jest strategia HNDL: “Harvest Now, Decrypt Later”.

To nie jest frontalne włamanie, ale cicha kradzież. Agencje wywiadowcze przechowują dziś ogromne ilości zaszyfrowanych danych po prostu dlatego, że koszty przechowywania stały się znikome.

Cierpliwie czekają na moment, w którym skoki technologiczne sprawią, że obecne klucze kryptograficzne staną się przestarzałe. Tajemnica państwowa chroniona w 2026 roku może stać się otwartą księgą za piętnaście lat.

Odpowiedzialność Działająca Wstecz i Ryzyko Czasowe

Model HNDL wprowadza nową koncepcję: opóźnionej szkody prawnej. Przy masowym gromadzeniu danych poufność staje się zmienną zależną od czasu.

Naukowy model HNDL definiuje, że poufność nieuchronnie zawodzi, gdy wymagana żywotność tajemnicy przekracza horyzont deszyfrowania przeciwnika.

Jeśli państwo nie gwarantuje absolutnej suwerenności swojej infrastruktury sprzętowej, w praktyce podpisuje zrzeczenie się długoterminowej poufności swoich obywateli.

Dzisiejsze przechwycenie to jutrzejsze włamanie. Zamiana zależności od chmury w dług bezpieczeństwa narodowego to hazard niemożliwy do spłacenia.

Antyteza Arpokrat: Prawna Niemożliwość przez Kod

W odpowiedzi przemysł tworzy radykalne ekosystemy cyfrowej suwerenności. Model Arpokrat działa w zdecentralizowanej sieci, chronionej przez bardzo surową szwajcarską Federalną Ustawę o Ochronie Danych (FADP).

Podstawową logiką jest absolutne Privacy by Design. Po usunięciu konieczności podawania numeru telefonu użytkownik staje się zwykłym kluczem kryptograficznym.

Pod względem prawnym, jeśli architektura to fundamentalnie Zero-Knowledge, firma staje przed techniczną niemożnością zastosowania się do zagranicznych nakazów.

To niepowstrzymane matematyczne i prawne zabezpieczenie: tego, czego nie masz, nie można ujawnić.

Poza Szyfrowaniem: Dewaluacja Danych Docelowych

Prawdziwą odpowiedzią w aplikacji Arpokrat nie jest zakładanie się o wieczną matematykę, ale dewaluacja samych danych.

Bez centralnych metadanych łączących wiadomość z fizyczną osobą, zaszyfrowana treść traci swoją strategiczną wartość, ponieważ staje się niemożliwa do przypisania.

Jednak samo oprogramowanie nic nie zdziała, jeśli sprzęt je zdradzi.

Bezpieczeństwo w XXI wieku wymaga niezależności samej maszyny. Wdrożenie suwerennego, wolnego od Google systemu operacyjnego stało się absolutnym wymogiem dla każdego, kto ma do czynienia z tajemnicami państwowymi.