Andrzej Długosz, prezes agencji Crossmedia, który był podsluchiwany za pomocą oprogramowania Pegasus, o czym w lipcu 2022 obszernie mówił przed senacką Komisją nadzwyczajną ds. nielegalnej inwigilacji, niezwłocznie po złożeniu wyjaśnień w Senacie złożył pisemne zawiadomienie o podejrzeniu popełnienia przestępstwa w Prokuraturze Okręgowej w Warszawie (przytaczamy je w całości poniżej). 14 października Prokurator Anna Szymańska-Borko (delegowana do Prok. Okręgowej) wydała postanowienie o odmowie wszczęcia śledztwa, gdyż „czyn nie zawiera znamion czynu zabronionego” (czytaj załączony dokument).

Andrzej Długosz zapowiedział już złożenie zażalenia do sądu. Czy trafi tam ono na sędziego, czy może na neo-sędziego, ze wszystkimi tego konsekwencjami?

Warszawa, dnia 26 lipca 2022 roku

Prokuratura Okręgowa w Warszawie

1 Wydział Śledczy

ul. Chocimska 28
00-791 Warszawa

Pokrzywdzony: Andrzej Długosz

ul. Górna 27

05 – 503 Głosków – Letnisko

tel. 609-636-381, e-mail: andrzejd@crossmedia.pl

telefaks: Oświadczam, że nie posiadam telefaksu

Zawiadomienie o podejrzeniu popełnienia przestępstwa

Działając w imieniu własnym, na podstawie art. 304 § 1 k.p.k., zawiadamiam o podejrzeniu popełnienia przestępstw przez funkcjonariuszy publicznych na szkodę pokrzywdzonego Andrzeja Długosza, a w szczególności z art. 231 § 1 k.k. w zb. z art. 267 § 1 i 3 k.k.

Jednocześnie, na podstawie art. 167 k.p.k. w zw. z art. 315 § 1 k.p.k., wnoszę o przeprowadzenie następujących dowodów:

1. przesłuchania w charakterze pokrzywdzonego Andrzeja Długosza;

2. dokumentu „Forenstic traces for device of Andrzej Długosz” (załącznik);

3. zwrócenie się do Amnesty International o przesłanie oryginału dokumentu „Forenstic traces for device of Andrzej Długosz”;

4. zwrócenie się do Kancelarii Senatu (ul. Wiejska 6/8, 00-902 Warszawa) o przesłanie odpisu Ekspertyzy w przedmiocie legalności zakupu i wykorzystania na terytorium Rzeczypospolitej Polskiej systemu „Pegasus”, autorstwa r.pr. dr hab. prof. SWPS Mariusz Bidziński, Opinie i ekspertyzy OE-381, Warszawa 2022;

5. zwrócenie się do Centralnego Biura Antykorupcyjnego o udzielenie informacji, czy CBA dokonywało wobec Andrzeja Długosza w datach wskazanych w piśmie od Amnesty International „Forenstic traces for device of Andrzej Długosz” inwigilacji osoby Andrzeja Długosza za pomocą oprogramowania określanego jako „Pegasus” oraz podanie danych funkcjonariuszy publicznych, którzy byli zaangażowani w proces inwigilacji Andrzeja Długosza celem podjęcia dalszych czynności procesowych z ich udziałem,

na okoliczność ustalenia faktu, czasu trwania oraz dat inwigilowania Andrzeja Długosza za pomocą systemu „Pegasus”, ustalenia legalności i zasadności tej inwigilacji, ustalenia legalności stosowania systemu „Pegasus” w Polsce do kontroli operacyjnej, a także ustalenia tożsamości osób zaangażowanych w proces inwigilacji Andrzeja Długosza celem podjęcia dalszych czynności procesowych.

Ponadto, podstawie art. 315 § 2 k.p.k., art. 316 § 1 k.p.k. oraz art. 317 § 1 k.p.k., wnoszę o dopuszczenie do udziału w czynnościach postępowania przygotowawczego oraz zawiadamianie mnie o ich miejscu i terminie.

Jednocześnie, działając na podstawie art. 12 § 1 k.p.k., wnoszę o ściganie i ukaranie sprawców czynów wynikających z niniejszego zawiadomienia.

Uzasadnienie

W okolicach połowy 2022 roku nawiązał ze mną kontakt dziennikarz z Gazety Wyborczej Michał Kokot (michal.kokot@agora.pl) w celu zapytania, czy wyraziłbym zgodę na zbadanie mojego telefonu pod kątem jego inwigilowania przez służby za pomocą programu określanego nazwą „Pegasus”. Wyraziłem na to zgodę i w czerwcu 2022 roku otrzymałem raport, który (wedle przekazanych mi informacji) sporządziło Amnesty International. Z tego raportu wynika, że mój telefon był inwigilowany za pomocą oprogramowania „Pegasus” w okresie od 23 marca 2018 roku do 05 listopada 2019 roku aż kilkadziesiąt razy (szczegółowe zestawienie dat w załączeniu). Ponadto, z przesłanego mi raportu wynika, że na skutek podjętych działań doszło do pobrania w ten sposób co najmniej 1,8 GB danych. Powyższe stanowiło dla mnie spore zaskoczenie, albowiem w okresie 2018 – 2019 nie byłem przesłuchiwany ani w charakterze świadka, ani w charakterze podejrzanego, jak też nie zostały mi postawione też żadne zarzuty. Osobnego podniesienia wymaga, że w omawianym okresie nie doszło także ani do przeszukania mojego domu, czy miejsca pracy, czy też zatrzymania jakichś rzeczy z w/w miejsc. W związku z zaistniałą sytuacją w dniu 18 lipca 2022 roku złożyłem zeznania przed Komisją Nadzwyczajną do spraw wyjaśnienia przypadków nielegalnej inwigilacji, ich wpływu na proces wyborczy w Rzeczypospolitej Polskiej oraz reformy służb specjalnych. Z dostępnych materiałów dotyczących opisywanej problematyki wynika, że system Pegasus został najprawdopodobniej zakupiony przez Centralne Biura Antykorupcyjne. W tym miejscu należy wyjaśnić, że „„Pegasus” to nazwa oprogramowania szpiegującego, możliwego do zainstalowania na urządzeniach elektronicznych korzystających z systemów iOS i Android (w tym zwłaszcza na telefonach komórkowych), produkowanego przez izraelską spółkę NSO Group Technologies Ltd. Zainstalowanie oprogramowania na urządzeniu odbywa się zdalnie, bez świadomości użytkownika i otwiera podmiotowi infekującemu praktycznie nieograniczony dostęp do urządzenia, umożliwiając m.in.: dostęp do wiadomości e-mail oraz SMS-ów; śledzenie pozycji urządzenia (GPS); modyfikowanie ustawień technicznych urządzenia (w tym dostępu do sieci); dostęp do historii przeglądania stron internetowych, zapisanych kontaktów, sieci społecznościowych; wykonywanie połączeń telefonicznych; dokonywanie i przeglądanie wpisów w kalendarzu; pozyskiwanie plików z urządzenia (w tym usuniętych); instalowanie własnych oraz modyfikacja istniejących plików na urządzeniu; wysyłanie wiadomości; dostęp do aparatu i galerii urządzenia (w tym możliwość wykonywania zdjęć, filmów i zrzutów ekranu); nagrywanie dźwięku itp. Innymi słowy, zainfekowanie urządzenia „Pegasusem” daje infekującemu praktycznie całkowitą kontrolę nad urządzeniem, z jego bieżącym używaniem oraz modyfikacją zapisanych w urządzeniu treści włącznie. Stosowanie „Pegasusa” jest niezależne od wiedzy i zgody operatorów telekomunikacyjnych czy internetowych” (patrz: Ekspertyza w przedmiocie legalności zakupu i wykorzystania na terytorium Rzeczypospolitej Polskiej systemu „Pegasus”, autorstwa r.pr. dr hab. prof. SWPS Mariusz Bidziński, Opinie i ekspertyzy OE-381, Warszawa 2022, s. 4-5; źródło: https://www.senat.gov.pl/gfx/senat/pl/senatekspertyzy/6220/plik/oe-381.pdf).

W tym miejscu należy pochylić nad kwestią legalności powyższych działań wobec mojej osoby. W pierwszej kolejności należy wskazać, że w Polsce możliwa jest kontrola procesowa (art. 237 – 242 k.p.k.) lub kontrola operacyjna (uregulowana np. w ustawie o Centralnym Biurze Antykorupcyjnym). Mając na uwadze, że kontrola procesowa nie jest za bardzo wykorzystywana w praktyce, nie ma sensu się nad nią pochylać w szerszym zakresie. Nadmienić jedynie należy, że kontrola procesowa oznacza jedynie kontrolę i utrwalanie treści rozmów telefonicznych w celu wykrycia i uzyskania dowodów dla toczącego się postępowania lub zapobieżenia popełnieniu nowego przestępstwa (art. 237 § 1 k.p.k.), jak też w celu ujawnienia mienia zagrożonego przepadkiem (art. 237 § 3a k.p.k.). Trudno sobie wyobrazić, by adekwatnym środkiem do realizacji tego rodzaju kontroli miał być program „Pegasus”, albowiem wiąże się on z totalną inwigilacją, przełamywaniem zabezpieczeń, czy wręcz przejmowaniem kontroli nad urządzeniem. Odnośnie natomiast kontroli operacyjnej, to należy przede wszystkim wskazać na art. 17 ustawy o Centralnym Biurze Antykorupcyjnym (dalej: CBA), albowiem to właśnie co do tej służby zachodzi podejrzenie korzystania z oprogramowania „Pegasus”. Zgodnie z art. 17 ust. 5 ustawy o CBA „Kontrola operacyjna prowadzona jest niejawnie i polega na:1) uzyskiwaniu i utrwalaniu treści rozmów prowadzonych przy użyciu środków technicznych, w tym za pomocą sieci telekomunikacyjnych; 2) uzyskiwaniu i utrwalaniu obrazu lub dźwięku osób z pomieszczeń, środków transportu lub miejsc innych niż miejsca publiczne; 3) uzyskiwaniu i utrwalaniu treści korespondencji, w tym korespondencji prowadzonej za pomocą środków komunikacji elektronicznej; 4) uzyskiwaniu i utrwalaniu danych zawartych w informatycznych nośnikach danych, telekomunikacyjnych urządzeniach końcowych, systemach informatycznych i teleinformatycznych; 5) uzyskiwaniu dostępu i kontroli zawartości przesyłek.”. Dokładnie taki sam katalog czynności kontroli operacyjnej został uregulowany choćby w art. 19 ust. 6 ustawy o Policji, czy też w art. 27 ust. 6 ustawy o Agencji Bezpieczeństwa Wewnętrznego i Agencji Wywiadu (dalej: ustawa o ABW i AW). Punktem wyjścia do dalszych rozważań odnoszących się do kontroli operacyjnej jest wskazanie, że w wyroku z dnia 23 czerwca 2009 roku Trybunał Konstytucyjny (K 54/07) stwierdził, że „Obserwacja winna mieścić się w granicach niezbędności dla założonego celu obserwacji. Te trzy ograniczenia (celowości, subsydiarności działania, niezbędności prowadzonej obserwacji) służą minimalizacji niekoniecznych – z punktu widzenia celu działalności operacyjnej – wkroczeń w prywatność. Realizacja tej zasady wymaga ponadto efektywnej kontroli zapobiegającej ekscesowi. W ramach standardów demokratycznego państwa prawa dopuszczalne jest nawet głębokie wkroczenie w sferę prywatności, o ile wkroczenie to opatrzone zostanie należytymi gwarancjami proceduralnymi i w efekcie nie doprowadzi do naruszenia godności osoby poddanej kontroli” (por. Ekspertyza w przedmiocie legalności zakupu i wykorzystania na terytorium Rzeczypospolitej Polskiej systemu „Pegasus”, autorstwa r.pr. dr hab. prof. SWPS Mariusz Bidziński, Opinie i ekspertyzy OE-381, Warszawa 2022, s. 8). Powyższe oznacza, że kontrola operacyjna musi spełniać określone wymagania, by można było ją stosować w demokratycznym państwie prawa, stąd wymóg by obserwacja mieściła się w granicach niezbędności. Należy zatem podejmować tylko i wyłącznie takie działania, które są konieczne do realizacji celu. Przestrzeganie tej zasady ma znaczenie dla oceny legalności działań służb wobec obywatela. W kontekście powyższego należy wskazać, że analiza przepisów dotyczących kontroli operacyjnej pozwala na dostrzeżenie jednej ważnej kwestii, a mianowicie, czy to art. 17 ustawy o CBA, czy art. 19 ustawy o Policji, czy choćby art. 27 ustawy o ABW i AW określają, na czym ma polegać kontrola operacyjna poprzez określenie do czego się ona sprowadza, tj. kontrola rozmów telefonicznych, utrwalanie obrazu i dźwięku z pomieszczeń, pozyskiwaniu treści korespondencji, uzyskiwaniu danych zapisanych na elektronicznych nośnikach danych, czy w końcu na uzyskiwaniu dostępu i kontroli zawartości przesyłek, ale jednocześnie przepisy te nie określają w jaki sposób (jakimi konkretnie środkami technicznymi) ma nastąpić np. utrwalenie rozmowy telefonicznej, czy pozyskanie danych zapisanych na elektronicznym nośniku danych (np. art. 17 ust. 5 pkt 1 i 4 ustawy o CBA). Brak określenia konkretnych środków technicznych zapewne wynika z istoty kontroli operacyjnej i jej niejawności. Nie można jednak twierdzić, że w takim wypadku dozwolone są wszelkie możliwe sposoby pozyskania w/w informacji. Należy bowiem pamiętać, że czynności kontroli operacyjnej mogą być dokonywane jedynie za pomocą niezbędnych środków. Inaczej mówiąc, nie jest dopuszczalne stosowanie bardzo inwazyjnych środków inwigilacji, w sytuacji gdy ten sam skutek można osiągnąć mniej inwazyjnymi metodami inwigilacji. W Ekspertyzie Kancelarii Senatu wskazano, że „Przepisy ustaw […] nie wskazują na konkretne środki służące do realizacji tych czynności […] Nie ulega przy tym wątpliwości, że wyrażenie przez właściwy organ zgody na daną czynność stanowi upoważnienie tylko i wyłącznie do realizowania jej przy pomocy środków adekwatnych. Dopuszczalne jest stosowanie tylko takich środków, które nie prowadzą do dalszej ingerencji w prawa jednostki, niż jest to niezbędne do zamierzonego celu” (Ekspertyza w przedmiocie legalności zakupu i wykorzystania na terytorium Rzeczypospolitej Polskiej systemu „Pegasus”, autorstwa r.pr. dr hab. prof. SWPS Mariusz Bidziński, Opinie i ekspertyzy OE-381, Warszawa 2022, s. 11). Powyższe jest zresztą spójne z regulacjami dotyczącymi kontroli operacyjnej, albowiem samo stosowanie kontroli operacyjnej ma mieć charakter subsydiarny. W art. 17 ust. 1 ustawy o CBA wskazano bowiem, że kontrolę operacyjną zarządza się wtedy, gdy inne środki okazały się bezskuteczne albo będą nieprzydatne. Powyższe nie budzi wątpliwości doktryny, która wskazuje, że „W wypadku wszystkich uprawnionych służb wspólne pozostaje bezwzględne uprawnienie do jej stosowania jedynie jako środka subsydiarnego. Każda z norm statuujących kontrolę operacyjną wyraźnie akcentuje bowiem, że można ją stosować tylko wtedy, gdy inne środki okazały się bezskuteczne albo będą nieprzydatne. Konsekwencją tego jest obowiązek wykazania we wniosku kierowanym w tej sprawie do sądu stwierdzonej już uprzednio bezskuteczności lub nieprzydatności zastosowania innych środków” (Miłkowski Tomasz M., Czynności operacyjno-rozpoznawcze a prawa i wolności jednostki, WKP 2020). Skoro zatem sama kontrola operacyjna ma być stosowana jedynie subsydiarnie, a więc wtedy gdy inne środki są niewystarczające, to trudno logicznie przyjmować by reguła ta nie odnosiła się też do środków stosowanych w ramach kontroli operacyjnej. Natomiast stosowanie „Pegasusa” właśnie stanowi sytuację wykorzystywania dalej idącego narzędzia, w sytuacji gdy da się dokonać danych czynności kontroli operacyjnej mniej ingerencyjnymi środkami. Osobną kwestią jest to, że w żadnym wypadku polskie prawo nie zezwala na przejmowanie kontroli nad telefonem, czy modyfikacji jego zawartości, a takie możliwości zapewnia przecież system „Pegasus” (tak Ekspertyza w przedmiocie legalności zakupu i wykorzystania na terytorium Rzeczypospolitej Polskiej systemu „Pegasus”, autorstwa r.pr. dr hab. prof. SWPS Mariusz Bidziński, Opinie i ekspertyzy OE-381, Warszawa 2022, s. 10 – 11). W tym miejscu należy podnieść, że celem kontroli operacyjnej jest pozyskanie określonych informacji w sposób niejawny. Z powyższym celem nie koreluje w żaden sposób przejmowanie kontroli nad urządzeniem, a już w ogóle nie koreluje stosowanie metod pozwalających na modyfikowanie danych znajdujących się w danym urządzeniu. Powyższe nie ma nic wspólnego z kontrolą operacyjną. Kolejną kwestią wymagającą poruszenia jest to, że „obowiązujące przepisy prawa nie pozwalają żadnemu z organów państwowych na przełamywanie zabezpieczeń (hacking) […]” (Ekspertyza w przedmiocie legalności zakupu i wykorzystania na terytorium Rzeczypospolitej Polskiej systemu „Pegasus”, autorstwa r.pr. dr hab. prof. SWPS Mariusz Bidziński, Opinie i ekspertyzy OE-381, Warszawa 2022, s. 12). Skoro natomiast system „Pegasus” działa niezależnie od przedsiębiorców komunikacyjnych, czy usługodawców świadczących usługi drogą elektroniczną, to siłą rzeczy pozyskanie danych z telefonu zabezpieczonego hasłem dostępu musi odbywać się poprzez włamanie do tego urządzenia. Powyższe, zdaniem pokrzywdzonego, już wykracza poza ramy określone chociażby art. 17 ustawy o CBA i nie powinno być uważane za legalny środek kontroli operacyjnej. W tym miejscu należy zwrócić uwagę na regulację art. 17 ust. 12 ustawy o CBA, wedle której „Przedsiębiorca telekomunikacyjny, operator pocztowy oraz usługodawca świadczący usługi drogą elektroniczną są obowiązani do zapewnienia na własny koszt warunków technicznych i organizacyjnych umożliwiających prowadzenie przez CBA kontroli operacyjnej.” oraz na ust. 12a ustawy „Usługodawca świadczący usługi drogą elektroniczną będący mikroprzedsiębiorcą lub małym przedsiębiorcą w rozumieniu przepisów ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców (Dz. U. z 2021 r. poz. 162) zapewnia warunki techniczne i organizacyjne umożliwiające prowadzenie przez CBA kontroli operacyjnej stosownie do posiadanej infrastruktury.” (tak też art. 19 ust. 12 i 12a ustawy o Policji). Powyższe oznacza, że kontrola operacyjna odbywa się de facto za pośrednictwem przedsiębiorcy telekomunikacyjnego, czy też usługodawcy świadczącego usługi drogą elektroniczną, a nie z jego pominięciem, tak jak to jest w przypadku systemu „Pegasus”. Owa niezależność systemu „Pegasus” stanowi kolejny argument wskazujący na to, że wykracza on poza ramy prawne przewidziane przez polskie ustawodawstwo, a zatem tego systemu nie da się legalnie w Polsce stosować.

W kontekście z kolei braku możliwości legalnego stosowania systemu „Pegasus” należy pochylić się nad problematyką odpowiedzialności karnej za jego zastosowanie. W tym kontekście podstawowymi przepisami, które należy rozważyć są art. 231 § 1 k.k., wedle którego karalne jest przekroczenie uprawnień przez funkcjonariusza publicznego działającego na szkodę interesu publicznego lub prywatnego oraz art. 267 § 1 i 3 k.k. dot. bezprawnego uzyskania informacji.

W pierwszej kolejności należy pochylić się nad kwestią realizacji znamion art. 267 § 1 i 3 k.k. Zgodnie z art. 267 § 1 k.k. karalne jest uzyskanie, bez uprawnienia, dostępu do informacji dla danej osoby nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie. Z kolei art. 267 § 3 k.k. stanowi, że „Tej samej karze podlega, kto w celu uzyskania informacji, do której nie jest uprawniony, zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem”. Jeśli chodzi o pojęcie informacji nieprzeznaczonej dla danej osoby (w tym wypadku funkcjonariusza publicznego), o którym mowa w art. 267 § 1 k.k., to przyjmuje się, że „W art. 267 § 1 ustawodawca posłużył się określeniem „informacja nieprzeznaczona dla sprawcy”, co oznacza, że „sprawca nie jest ich adresatem” (M. Kalitowski [w:] Kodeks karny…, red. M. Filar, s. 1470). Nie jest to synonimiczne względem „informacji, do której sprawca nie jest uprawniony”, o której mowa w art. 267 § 3. O tym, dla kogo przeznaczona jest informacja, decyduje wyłącznie jej nadawca. Zatem nawet jeśli ze względu na swoją treść dana informacja będzie nosiła cechy informacji publicznej, to i tak w razie zapoznania się z nią na wyżej wymienionych warunkach opisanych w art. 267 § 1 dojdzie do realizacji znamion przestępstwa. Uprawnienie, o którym mowa w przepisie, odnosi się bowiem nie do informacji, ale odpowiednio do sposobów uzyskania dostępu do informacji (np. w ramach czynności operacyjnych).” (Wróbel Włodzimierz (red.), Zoll Andrzej (red.), Kodeks karny. Część szczególna. Tom II. Część II. Komentarz do art. art. 212-277d, WKP 2017). Również Sąd Najwyższy w wyroku z dnia 24 marca 2004 roku (IV KK 46/04) wskazał, że „Istotą występku, o jakim mowa w art. 267 § 1 k.k., jest uzyskanie informacji dyskrecjonalnej, nie przeznaczonej dla sprawcy.”. W kontekście powyższego, nie ulega żadnej wątpliwości, że funkcjonariusz publiczny nie jest adresatem danej informacji, którą pozyskał w drodze np. kontroli operacyjnej. W tym miejscu należy jedynie nadmienić, że art. 267 § 1 k.k. penalizuje już samo uzyskanie dostępu do informacji, przez co należy rozumieć „nie tylko stworzenie sobie możliwości zapoznania się z informacją lub przejęcia we władanie nośnika informacji, lecz także skopiowanie informacji. Samo zapoznanie się z informacją nie jest koniecznym warunkiem realizacji znamion przestępstwa z art. 267 § 1.”. (Wróbel Włodzimierz (red.), Zoll Andrzej (red.), Kodeks karny. Część szczególna. Tom II. Część II. Komentarz do art. art. 212-277d, WKP 2017). Właściwy dla niniejszej sprawy problem ujawnia się wraz z analizą dalszej części przepisu art. 267 § 1 k.k., który stanowi, że uzyskanie dostępu do informacji następuje, nawiązując do okoliczności niniejszej sprawy, poprzez przełamanie lub ominięcie zabezpieczeń telefonu. O ile zatem pozyskanie danej informacji (której funkcjonariusz publiczny adresatem nie jest) w drodze legalnej kontroli operacyjnej nie będzie penalizowane, o tyle posłużenie się nieprzewidzianym przez prawo oprogramowaniem, które przełamuje zabezpieczenia telefonu nie stanowi już legalnego środka kontroli operacyjnej i winno być penalizowane z mocy art. 267 § 1 k.k. Zdaniem pokrzywdzonego, zasadnym jest zatem przyjmowanie, że korzystanie z „Pegasusa” wyczerpuje znamiona typu czynu zabronionego z art. 267 § 1 k.k., skoro doszło do uzyskania dostępu do danych pokrzywdzonego i ściągnięcia co najmniej 1,8 GB danych. Po drugie, w kontekście art. 267 § 3 k.k., funkcjonariusze publiczni nie są, zdaniem pokrzywdzonego, uprawnieni do uzyskania informacji za pomocą oprogramowania działającego na takiej zasadzie jak „Pegasus”. Należy bowiem wskazać, że funkcjonariusze publiczni mają prawo (są uprawnieni) do pozyskiwania danych w drodze kontroli operacyjnej. Nie sposób natomiast uznać, o czym była już mowa powyżej, systemu „Pegasus” za legalny środek kontroli operacyjnej, albowiem chociażby działa on niezależnie od przedsiębiorców telekomunikacyjnych, czy też działa na zasadzie przełamywania zabezpieczeń, do czego przepisy prawne nie uprawniają. Skoro zatem przepisy nie uprawniają do korzystania z tego oprogramowania, to nie sposób uznać, że funkcjonariusz publiczny jest uprawniony do pozyskiwania jakichkolwiek informacji za pomocą „Pegasusa” – w kontekście kontroli operacyjnej, zapobiegania i zwalczania przestępczości. Kluczowy jest tutaj bowiem sposób pozyskiwania informacji, który rzutuje na uprawnienie do pozyskania danej informacji. O ile bowiem funkcjonariusze publiczni są uprawnieni do pozyskiwania określonych informacji w ramach kontroli operacyjnej, o tyle „Pegasus” nie wpisuje się w ramy dozwolonego środka kontroli operacyjnej, a więc do pozyskiwania w ten sposób danych funkcjonariusze służb uprawnieni już nie są, co winno podlegać pod art. 267 § 3 k.k. Słusznie podniesiono w Ekspertyzie Kancelarii Senatu, że „z uwagi na uzyskanie w wyniku zainfekowania urządzenia „Pegasusem” dostępu do wszelkich danych zapisanych w pamięci urządzenia, możliwości ich modyfikacji oraz możliwości kontrolowania urządzenia w sposób niemal całkowicie dowolny, każde zastosowanie analizowanego oprogramowania musi prowadzić do uzyskania przez stosujący je organ dostępu do danych i informacji dla niego nieprzeznaczonych, niemogących wchodzić w ustawowy zakres kontroli. Co więcej, każde zastosowanie „Pegasusa” wiąże się z przełamywaniem zabezpieczeń urządzenia” (Ekspertyza w przedmiocie legalności zakupu i wykorzystania na terytorium Rzeczypospolitej Polskiej systemu „Pegasus”, autorstwa r.pr. dr hab. prof. SWPS Mariusz Bidziński, Opinie i ekspertyzy OE-381, Warszawa 2022, s. 16). Zasadnym wydaje się zatem poczynienie konstatacji o realizacji znamion typów czynów zabronionych opisanych w art. 267 § 1 i 3 k.k.

Co się zaś tyczy kwestii art. 231 § 1 k.k., to należy wskazać, że funkcjonariusz publiczny, który wykorzystuje nieprzewidziane przez polskie prawo (czyli nielegalne) środki celem zrealizowania czynności wchodzących nawet w zakres kontroli operacyjnej dopuszcza się, zdaniem pokrzywdzonego, przekroczenia uprawnień funkcjonariusza publicznego, będąc jednocześnie działaniem na szkodę interesu publicznego i prywatnego. Ustawa nie precyzuje, o jaką szkodę tu ma chodzić, więc należy przyjmować tak szkodę materialną, jak i niematerialną (por. M. Królikowski, R. Zawłocki, (red.) Kodeks karny. Część szczególna. Tom II. Komentarz. Art. 222–316, Wyd. 4, Warszawa 2017). Jeżeli chodzi o działanie funkcjonariusza publicznego na szkodę interesu publicznego, to stosowanie nielegalnego oprogramowania szpiegującego w sposób oczywisty narusza zaufanie do państwa (jako takiego) i do jego organów. Obywatel ma prawo bowiem zakładać, że organy ścigania i służby państwowe działają zgodnie z prawem, w jego granicach i na jego podstawie. W kontekście kontroli operacyjnej powyższe zaufanie wyraża się w tym, że obywatel ma prawo zakładać, że służby i organy ścigania posiadają odpowiednie zgody na prowadzenie kontroli procesowej, prowadzą ją we właściwym zakresie, w wypadkach do tego przewidzianych i uzasadnionych okolicznościami sprawy, a także przez niezbędny jedynie okres oraz przy wykorzystaniu koniecznych (a nie dowolnych) środków kontroli. Pokrzywdzony pragnie w tym miejscu przywołać brzmienie art. 17 ust. 8 ustawy o CBA, wedle którego „Kontrolę operacyjną zarządza się na okres nie dłuższy niż 3 miesiące. Sąd, o którym mowa w ust. 2, może, na pisemny wniosek Szefa CBA, złożony po uzyskaniu pisemnej zgody Prokuratora Generalnego, wydać postanowienie o jednorazowym przedłużeniu kontroli operacyjnej, na okres nie dłuższy niż kolejne 3 miesiące, jeżeli nie ustały przyczyny zarządzenia tej kontroli.”. Co do zasady kontrola operacyjna może zatem trwać maksymalnie 6 miesięcy, podczas gdy w niniejszej sprawie inwigilacja pokrzywdzonego trwała od 23 marca 2018 roku do 05 listopada 2019 roku (okres aktywnych wejść, czy też prób wejść za pomocą programu „Pegasus” wskazanych w raporcie Amnesty International – załącznik). Powyższe stanowi osobny argument świadczący o możliwym przekroczeniu uprawnień przez funkcjonariuszy publicznych, będąc działaniem na szkodę interesu publicznego, ale i prywatnego. Oczywiście, pokrzywdzony zna treść art. 17 ust. 9 ustawy o CBA, wedle którego „W uzasadnionych przypadkach, gdy podczas stosowania kontroli operacyjnej pojawią się nowe okoliczności istotne dla zapobieżenia lub wykrycia przestępstwa albo ustalenia sprawcy i uzyskania dowodów przestępstwa, sąd, o którym mowa w ust. 2, na pisemny wniosek Szefa CBA, złożony po uzyskaniu pisemnej zgody Prokuratora Generalnego, może wydawać, również po upływie okresów, o których mowa w ust. 8, kolejne postanowienia o przedłużeniu kontroli operacyjnej na następujące po sobie okresy, których łączna długość nie może przekraczać 12 miesięcy.”. Po pierwsze jednak ta instytucja ma charakter wyjątkowy i nie znajduje zawsze zastosowania, a po drugie łączny czas trwania kontroli powinien wynosić maksymalnie 18 miesięcy, co jest okresem krótszym niż okres od 23 marca 2018 roku do 05 listopada 2019 roku. Przypomnieć tutaj należy, że w tym okresie nie podejmowano wobec pokrzywdzonego żadnych innych (jawnych) czynności w postaci przesłuchań, przeszukań, zatrzymań rzeczy. W kontekście powyższego czas trwania czynności i ich natężenie budzi co najmniej konsternację. Podsumowując, działania służb, które są niezgodne z prawem, tak jak korzystanie z nielegalnego oprogramowania do inwigilacji, stanowią działanie na szkodę interesu publicznego. Po drugie, w sposób oczywisty dochodzi w takim wypadku do działania na szkodę interesu prywatnego jednostki (obywatela), który jest inwigilowany ponad ramy wyznaczone przez prawo, bez poszanowania proporcjonalności stosowanych środków do celów oraz za pomocą środków, które są nieprzewidziane przez polskie ustawodawstwo, a zatem są nielegalne. Nie bez znaczenia w niniejszej sprawie ma także czas trwania działań inwigilacyjnych podejmowanych wobec pokrzywdzonego, albowiem tak długi czas trwania działań inwigilacyjnych już samo w sobie winno stanowić działanie na szkodę interesu prywatnego w rozumieniu art. 231 § 1 k.k. Słusznie zauważono w cytowanej już Ekspertyzie Kancelarii Senatu, że „wykorzystanie nielegalnego środka do realizacji kontroli operacyjnej stanowić będzie zatem przekroczenie uprawnień tych funkcjonariuszy ze szkodą zarówno dla interesu publicznego (w tym zwłaszcza z uwagi na naruszenie zaufania do państwa i jego instytucji w kontekście zasady legalizmu), jak również prywatnego (naruszenie praw i wolności osób objętych inwigilacją)” (Ekspertyza w przedmiocie legalności zakupu i wykorzystania na terytorium Rzeczypospolitej Polskiej systemu „Pegasus”, autorstwa r.pr. dr hab. prof. SWPS Mariusz Bidziński, Opinie i ekspertyzy OE-381, Warszawa 2022, s. 15).

………………………………….

Andrzej Długosz

Scanned from a Xerox Multifunction Printer