KOMISJA EUROPEJSKA Bruksela, dnia 5.2.2019 COM(2019) 71 final Zalecenie DECYZJA RADY upoważniająca do uczestnictwa w negocjacjach w sprawie drugiego protokołu dodatkowego do Konwencji Rady Europy o cyberprzestępczości (CETS nr 185)



UZASADNIENIE 1.KONTEKST Rozwój technologii informacyjnych i komunikacyjnych – oferując ludzkości niespotykane dotąd możliwości – niesie ze sobą również wyzwania, w tym dla wymiaru sprawiedliwości w sprawach karnych, a tym samym dla praworządności w cyberprzestrzeni. Podczas gdy kwitnie cyberprzestępczość i inne przestępstwa pozostawiające w systemach komputerowych elektroniczny materiał dowodowy, który w coraz większym stopniu przechowywany jest na serwerach w wielu zagranicznych, zmieniających się lub nieznanych jurysdykcjach, tj. „w chmurze”, uprawnienia organów ścigania są nadal ograniczone granicami terytorialnymi. W opublikowanej w kwietniu 2015 r. Europejskiej agendzie bezpieczeństwa Komisja Europejska zobowiązała się do dokonania przeglądu przeszkód w prowadzeniu dochodzeń w sprawach karnych dotyczących cyberprzestępstw, w szczególności w odniesieniu do transgranicznego dostępu do elektronicznego materiału dowodowego. W dniu 17 kwietnia 2018 r. Komisja przedstawiła Radzie i Parlamentowi Europejskiemu wniosek dotyczący rozporządzenia w sprawie europejskiego nakazu wydania dowodów dotyczącego elektronicznego materiału dowodowego w sprawach karnych i europejskiego nakazu zabezpieczenia dowodów dotyczącego elektronicznego materiału dowodowego w sprawach karnych oraz wniosek dotyczący dyrektywy ustanawiającej zharmonizowane przepisy dotyczące mianowania przedstawicieli prawnych w celu gromadzenia dowodów na potrzeby postępowań karnych („wnioski w sprawie elektronicznego materiału dowodowego”). Celem tych wniosków jest przyspieszenie procesu zabezpieczania i pozyskiwania w Unii Europejskiej elektronicznego materiału dowodowego przechowywanego lub posiadanego przez usługodawców posiadających zakład w innej jurysdykcji. Konwencja Rady Europy o cyberprzestępczości Celem Konwencji Rady Europy o cyberprzestępczości (CETS nr 185) jest ułatwianie zwalczania przestępstw popełnianych z wykorzystaniem sieci komputerowych. Zawiera ona przepisy: 1) harmonizujące krajowe przepisy prawa karnego materialnego w odniesieniu do przestępstw i powiązane przepisy w dziedzinie cyberprzestępczości, 2) przewidujące uprawnienia w ramach krajowego prawa karnego procesowego niezbędne do prowadzenia dochodzeń w sprawie takich przestępstw i ich ścigania, co dotyczy również innych przestępstw popełnianych za pomocą systemów komputerowych lub przestępstw, których dowody mają postać elektroniczną, oraz 3) mające na celu ustanowienie szybkiego i skutecznego systemu współpracy międzynarodowej. Konwencja jest otwarta dla państw członkowskich Rady Europy i państw niebędących jej członkami. Obecnie stronami Konwencji są 62 państwa, w tym 26 państw członkowskich Unii Europejskiej. Konwencja nie przewiduje możliwości przystąpienia do niej Unii Europejskiej. Unia Europejska ma jednak status obserwatora przy komitecie Konwencji. Na tej podstawie Unia Europejska bierze udział w posiedzeniach komitetu Konwencji. Art. 46 ust. 1 lit. c) Konwencji stanowi, że strony, w stosownych przypadkach, przeprowadzają okresowe konsultacje służące rozpatrzeniu ewentualnych uzupełnień lub zmian w Konwencji. Strony Konwencji o cyberprzestępczości od pewnego czasu analizują istniejące wyzwania i przeszkody w dostępie krajowych organów sądowych i policyjnych do elektronicznego materiału dowodowego dotyczącego przestępstw objętych dochodzeniami, mającego postać danych komputerowych – od 2012 do 2014 r. za pośrednictwem grupy roboczej ds. transgranicznego dostępu do danych oraz od 2015 do 2017 r. za pośrednictwem grupy analitycznej ds. dowodów w chmurze (Cloud Evidence Group). Negocjacje dotyczące drugiego protokołu dodatkowego do Konwencji Po złożeniu propozycji przez grupę analityczną ds. dowodów w chmurze, komitet Konwencji o cyberprzestępczości przyjął szereg zaleceń, w tym dotyczących negocjacji drugiego protokołu dodatkowego do Konwencji o cyberprzestępczości w sprawie wzmocnionej współpracy międzynarodowej („drugi protokół dodatkowy”). W czerwcu 2017 r. komitet Konwencji o cyberprzestępczości zatwierdził zakres zadań w zakresie przygotowania drugiego protokołu dodatkowego w okresie od września 2017 r. do grudnia 2019 r. Zgodnie z zakresem uprawnień drugi protokół dodatkowy może dotyczyć następujących elementów: ·przepisów dotyczących skuteczniejszej wzajemnej pomocy prawnej, w szczególności: –uproszczonego systemu składania wniosków o udzielenie wzajemnej pomocy prawnej w odniesieniu do informacji o abonencie; –międzynarodowych nakazów wydania dowodów; –bezpośredniej współpracy między organami sądowymi we wnioskach o udzielenie wzajemnej pomocy prawnej; –wspólnych dochodzeń i wspólnych zespołów dochodzeniowo-śledczych; –wniosków w języku angielskim; –audiowizualnych przesłuchań świadków, ofiar i ekspertów; –procedury wzajemnej pomocy prawnej w sytuacjach nadzwyczajnych; ·przepisów umożliwiających bezpośrednią współpracę z usługodawcami w innych jurysdykcjach w odniesieniu do wniosków o udzielenie informacji o abonencie, wniosków o zabezpieczenie dowodów oraz wniosków o udzielenie informacji w sytuacjach nadzwyczajnych;

·bardziej przejrzystych ram i silniejszych gwarancji w odniesieniu do istniejących praktyk transgranicznego dostępu do danych; ·gwarancji, w tym wymogów w zakresie ochrony danych. Negocjacje w sprawie różnych postanowień drugiego protokołu dodatkowego postępują w różnym tempie. Obecna sytuacja w grupach roboczych zajmujących się czterema głównymi blokami prac nakreślonymi w zakresie zadań jest następująca: ·przepisy dotyczące „języków wniosków” i „wzajemnej pomocy w sytuacjach nadzwyczajnych” zostały wstępnie przyjęte przez zgromadzenie plenarne w sprawie protokołu w lipcu 2018 r. ·Przepisy dotyczące „wideokonferencji” zostały wstępnie przyjęte przez zgromadzenie plenarne w sprawie protokołu w listopadzie 2018 r. ·Zgromadzenie plenarne w sprawie protokołu, które odbyło się w listopadzie 2018 r., umożliwiło również przeprowadzenie szczegółowych dyskusji (przepisy dotyczące „jurysdykcji” i „wzoru zatwierdzenia”) oraz aktualizację szeregu kwestii („bezpośrednia współpraca z usługodawcami”, „międzynarodowe nakazy wydania dowodów”, „rozszerzenie wyszukiwania/dostępu w oparciu o dane uwierzytelniające”, „wspólne dochodzenia i wspólne zespoły dochodzeniowo-śledcze” oraz „techniki dochodzeniowo-śledcze”). ·Nie osiągnięto jeszcze wystarczających postępów w innych kwestiach (gwarancje, w tym wymogi dotyczące ochrony danych). 2.CELE WNIOSKU Niniejsze zalecenie zostaje przedłożone Radzie w celu uzyskania zgody na uczestnictwo w imieniu Unii Europejskiej i jej państw członkowskich w negocjacjach w sprawie drugiego protokołu dodatkowego, na przyjęcie wytycznych negocjacyjnych oraz wyznaczenie Komisji jako negocjatora zgodnie z załączonym projektem wytycznych negocjacyjnych, na podstawie art. 218 TFUE. Art. 3 ust. 2 TFUE stanowi, że Unia posiada wyłączną kompetencję „do zawierania umów międzynarodowych (...) w zakresie, w jakim ich zawarcie może wpływać na wspólne zasady lub zmieniać ich zakres”. Umowa międzynarodowa może wpływać na wspólne zasady lub zmieniać ich zakres w przypadku, gdy dziedzina objęta tą umową pokrywa się z prawodawstwem Unii lub jest objęta w znacznym stopniu prawem Unii. Unia Europejska przyjęła wspólne zasady oparte na art. 82 ust. 1 i art. 16 TFUE w odniesieniu do elementów uwzględnianych w drugim protokole dodatkowym. Obecne ramy prawne Unii Europejskiej obejmują w szczególności instrumenty dotyczące egzekwowania prawa i współpracy sądowej w sprawach karnych, takie jak dyrektywa 2014/41/UE w sprawie europejskiego nakazu dochodzeniowego w sprawach karnych, Konwencja o pomocy prawnej w sprawach karnych pomiędzy państwami członkowskimi Unii Europejskiej, rozporządzenie 2018/1727 w sprawie Eurojustu, rozporządzenie 2016/794 w sprawie Europolu, decyzja ramowa Rady 2002/465/WSiSW w sprawie wspólnych zespołów dochodzeniowo-śledczych, decyzja ramowa Rady 2009/948/WSiSW w sprawie zapobiegania konfliktom jurysdykcji w postępowaniu karnym i w sprawie rozstrzygania takich konfliktów. Ponadto Unia przyjęła szereg dyrektyw, które umacniają prawa procesowe podejrzanych i oskarżonych. Na zewnątrz Unia Europejska zawarła szereg umów dwustronnych z państwami trzecimi, np. umowy o wzajemnej pomocy prawnej między Unią Europejską i Stanami Zjednoczonymi Ameryki oraz między Unią Europejską a Japonią. Ochrona danych osobowych jest prawem podstawowym zapisanym w traktatach UE oraz w Karcie praw podstawowych Unii Europejskiej, a dane osobowe mogą być przetwarzane wyłącznie zgodnie z rozporządzeniem (UE) 2016/679 (ogólne rozporządzenie o ochronie danych) i dyrektywą (UE) 2016/680 (dyrektywa o ochronie danych policyjnych). Podstawowe prawo każdego człowieka do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się jest zapisane w Karcie praw podstawowych i obejmuje jako istotny element poszanowanie prywatności komunikacji. Dane pochodzące z łączności elektronicznej mogą być przetwarzane jedynie zgodnie z dyrektywą 2002/58/WE (dyrektywa o prywatności i łączności elektronicznej). Ponadto, aby ocenić, czy dany obszar jest w znacznej mierze objęty wspólnymi zasadami, należy wziąć pod uwagę nie tylko obecnie obowiązujące prawo Unii w danym obszarze, ale również kierunek jego przyszłego rozwoju, na tyle na ile jest to możliwe w momencie przeprowadzania analizy. Obszar objęty drugim protokołem dodatkowym ma bezpośrednie znaczenie dla możliwego do przewidzenia przyszłego rozwoju odpowiednich wspólnych zasad. W tym kontekście istotne są również wnioski Komisji z kwietnia 2018 r. w sprawie transgranicznego dostępu do elektronicznego materiału dowodowego. Zakres wniosków obejmuje określone rodzaje usługodawców świadczących usługi w Unii Europejskiej. Usługodawca oferuje usługi w Unii Europejskiej, jeżeli umożliwia użytkownikom w jednym lub większej liczbie państw członkowskich korzystanie ze swoich usług oraz w przypadku gdy jest on istotnie powiązany z Unią, na przykład gdy posiada zakład w państwie członkowskim lub świadczy usługi na rzecz dużej liczby użytkowników w tym państwie członkowskim. Osoby, które nie są obecne w Unii Europejskiej, są zobowiązane do wyznaczenia przedstawiciela prawnego, od którego będzie można egzekwować nakazy wydania dowodów. W konkluzjach Rady Europejskiej z dnia 18 października stwierdza się, że „należy znaleźć sposoby na zapewnienie szybkiego i efektywnego transgranicznego dostępu do elektronicznego materiału dowodowego, aby skutecznie zwalczać terroryzm oraz inne formy poważnej i zorganizowanej przestępczości zarówno w obrębie UE, jak i na szczeblu międzynarodowym; do końca obecnej kadencji należy osiągnąć porozumienie co do wniosków Komisji w sprawie elektronicznego materiału dowodowego i dostępu do informacji finansowych, a także skuteczniejszego zwalczania procederu prania pieniędzy. Komisja powinna także pilnie przedłożyć mandaty negocjacyjne dotyczące międzynarodowych negocjacji w sprawie elektronicznego materiału dowodowego.”. Wnioski Komisji w sprawie elektronicznego materiału dowodowego zapewniają podstawę skoordynowanego i spójnego podejścia przyjmowanego zarówno w ramach Unii Europejskiej, jak i przez Unię Europejską na szczeblu międzynarodowym, z należytym uwzględnieniem przepisów Unii Europejskiej, w tym przepisów dotyczących niedyskryminacji między państwami członkowskimi Unii Europejskiej i ich obywatelami. Komisja w swojej ocenie skutków wniosków w sprawie elektronicznego materiału dowodowego zauważyła już, że wnioski te mogłyby zostać z pożytkiem uzupełnione dwustronnymi lub wielostronnymi umowami w sprawie transgranicznego dostępu do elektronicznego materiału dowodowego wraz z towarzyszącymi im gwarancjami, jednak przed podjęciem międzynarodowych negocjacji ze stronami trzecimi Komisja postanowiła zaproponować zasady UE dotyczące odpowiednich metod i gwarancji w zakresie dostępu do elektronicznego materiału dowodowego. Na szczeblu międzynarodowym Komisja nadal uczestniczy jako obserwator w powiązanych dyskusjach w ramach Konwencji Rady Europy o cyberprzestępczości. Transgraniczny dostęp do elektronicznego materiału dowodowego jest regularnie przedmiotem dyskusji na posiedzeniach na szczeblu ministerialnym przedstawicieli UE i USA ds. wymiaru sprawiedliwości i spraw wewnętrznych. Obecnie równocześnie są przyjmowane przez Komisję dwa zalecenia dotyczące udziału w negocjacjach w sprawie drugiego protokołu dodatkowego do Konwencji o cyberprzestępczości oraz rozpoczęcia negocjacji ze Stanami Zjednoczonymi Ameryki. Chociaż oba te procesy będą postępować w różnym tempie, dotyczą one powiązanych ze sobą kwestii, a zobowiązania podjęte w ramach jednego procesu negocjacyjnego mogą mieć bezpośredni wpływ na inne wątki negocjacji. Podczas gdy wnioski w sprawie elektronicznego materiału dowodowego odnoszą się do sytuacji dotyczącej określonych rodzajów usługodawców świadczących usługi na rynku UE, istnieje ryzyko kolizji odnośnych obowiązków z przepisami prawa w państwach trzecich. W celu zaradzenia takiej kolizji przepisów oraz zgodnie z zasadą kurtuazji międzynarodowej wnioski w sprawie elektronicznego materiału dowodowego zawierają przepisy dotyczące szczególnych mechanizmów stosowanych w przypadku, gdy usługodawca, od którego żąda się przekazania materiału dowodowego, ma do wypełnienia sprzeczne obowiązki wynikające z prawa państwa trzeciego. Mechanizmy te obejmują procedurę odwoławczą w celu wyjaśnienia takich sytuacji. Celem drugiego protokołu dodatkowego do Konwencji Rady Europy o cyberprzestępczości powinno być unikanie sprzecznych obowiązków między stronami tej konwencji.

Można zatem uznać, że zawarcie drugiego protokołu dodatkowego może wpłynąć na wspólne zasady lub zmienić ich zakres. W związku z tym Unia ma wyłączną kompetencję do negocjowania drugiego protokołu dodatkowego uzupełniającego Konwencję o cyberprzestępczości (na mocy art. 3 ust. 2 TFUE). Przedmiot drugiego protokołu dodatkowego wchodziłby w zakres polityki i kompetencji UE, w szczególności w dziedzinie instrumentów współpracy sądowej w sprawach karnych (art. 82 ust. 1 TFUE) oraz ochrony danych (art. 16 TFUE), a ponadto, jako że kwestia ta jest przedmiotem prawa UE, negocjacje nie mogłyby być prowadzone bez udziału UE. Ponadto, zgodnie z art. 17 ust. 1 TUE, Komisja pełni ogólną rolę polegającą na reprezentowaniu Unii Europejskiej. W związku z powyższym Rada powinna wyznaczyć Komisję na negocjatora drugiego protokołu dodatkowego uzupełniającego Konwencję o cyberprzestępczości (CETS nr 185). 3.ODPOWIEDNIE PRZEPISY W TEJ DZIEDZINIE POLITYKI W negocjacjach należy zapewnić zgodność uzgodnionych postanowień z prawem UE i wynikającymi z niego zobowiązaniami państw członkowskich, z uwzględnieniem kierunku jego przyszłego rozwoju. Konieczne będzie również zapewnienie, by drugi protokół dodatkowy zawierał klauzulę rozdzielności umożliwiającą państwom członkowskim Unii Europejskiej będącym stronami drugiego protokołu dodatkowego regulowanie stosunków między sobą na podstawie prawa UE. W szczególności w stosunkach między państwami członkowskimi Unii Europejskiej należy zachować funkcjonowanie wniosków Komisji Europejskiej w sprawie elektronicznego materiału dowodowego, z uwzględnieniem zmian wprowadzanych przez współprawodawców podczas negocjacji w ramach procedury ustawodawczej oraz ich ostatecznej formy (po przyjęciu). Drugi protokół dodatkowy powinien zawierać niezbędne gwarancje podstawowych praw i wolności uznanych w Karcie praw podstawowych Unii Europejskiej, w szczególności prawa do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się uznanego w art. 7 Karty, prawa do ochrony danych osobowych uznanego w art. 8 Karty, prawa do skutecznego środka prawnego i rzetelnego procesu sądowego uznanego w art. 47 Karty, domniemania niewinności i prawa do obrony uznanego w art. 48 Karty oraz zasad legalności i proporcjonalności przestępstw i kar uznanych w art. 49 Karty. Drugi protokół dodatkowy powinien być stosowany zgodnie z tymi prawami i zasadami. Odpowiednie gwarancje w zakresie ochrony danych i prywatności w odniesieniu do gromadzenia, przekazywania i późniejszego wykorzystywania danych osobowych i danych pochodzących z łączności elektronicznej muszą zostać uwzględnione w protokole, tak aby zapewnić pełne przestrzeganie przez usługodawców z UE ich obowiązków wynikających z unijnych przepisów o ochronie danych i prywatności, w zakresie, w jakim taka umowa międzynarodowa mogłaby stanowić podstawę prawną przekazywania danych w odpowiedzi na nakazy wydania dowodów lub wnioski wystosowane przez organ państwa spoza UE będącego stroną protokołu dodatkowego, w których organ ten zwraca się do administratora danych lub podmiotu je przetwarzającego o ujawnienie danych osobowych lub danych pochodzących z łączności elektronicznej. Gwarancje te powinny zatem zapewnić ochronę podstawowych praw i wolności obywateli UE, w tym prywatności i ochrony danych osobowych, w przypadku gdy dane osobowe lub dane pochodzące z łączności elektronicznej są ujawniane organom ścigania w państwach spoza Unii Europejskiej. Z uwagi na to, że we wnioskach Komisji Europejskiej w sprawie elektronicznego materiału dowodowego brak przepisów dotyczących dostępu organów do danych bez pomocy pośrednika („bezpośredni dostęp”), wszelkie stosowanie tych środków może opierać się wyłącznie na prawie krajowym. Tam gdzie drugi protokół dodatkowy może zawierać postanowienia dotyczące „rozszerzenia wyszukiwania i dostępu w oparciu o dane uwierzytelniające” oraz „technik dochodzeniowo-śledczych”, głównym celem powinno być dążenie do ustanowienia silniejszych gwarancji dla takiego transgranicznego bezpośredniego dostępu do danych w celu zapewnienia ochrony podstawowych praw i wolności obywateli UE, w tym prywatności i ochrony danych osobowych. Zawarcie drugiego protokołu dodatkowego powinno umożliwiać zawieranie dwustronnych umów lub traktatów między Stronami Protokołu i między Stronami Protokołu a Unią Europejską, regulujących ich stosunki. W tym celu należy wprowadzić odpowiednią klauzulę przewidującą, że jeżeli co najmniej dwie strony Konwencji zawarły już umowę lub traktat w sprawach, o których mowa w Konwencji, lub zamierzają uczynić to w przyszłości, mają one prawo do stosowania tej umowy lub traktatu lub do odpowiedniego uregulowania tych stosunków, pod warunkiem że odbywa się to w sposób zgodny z celami i zasadami Konwencji. Umowa między Unią Europejską a Stanami Zjednoczonymi w sprawie transgranicznego dostępu do elektronicznego materiału dowodowego na potrzeby współpracy wymiarów sprawiedliwości w sprawach karnych powinna, w stosunkach dwustronnych między Stanami Zjednoczonymi Ameryki a Unią Europejską, mieć pierwszeństwo przed wszelkimi porozumieniami lub ustaleniami zawartymi w trakcie negocjacji drugiego protokołu dodatkowego w zakresie, w jakim dotyczy ona tych samych kwestii.



Zalecenie DECYZJA RADY upoważniająca do uczestnictwa w negocjacjach w sprawie drugiego protokołu dodatkowego do Konwencji Rady Europy o cyberprzestępczości (CETS nr 185) RADA UNII EUROPEJSKIEJ, uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 218 ust. 3 i 4, uwzględniając zalecenie Komisji Europejskiej, a także mając na uwadze, co następuje: (1)W dniu 9 czerwca 2017 r. Komitet Stron Konwencji Rady Europy o cyberprzestępczości (CETS nr 185) przyjął decyzję w sprawie przyjęcia zakresu zadań związanego z opracowaniem drugiego protokołu dodatkowego do konwencji. (2)Zakres zadań w odniesieniu do drugiego protokołu dodatkowego obejmuje następujące elementy do rozważenia: przepisy dotyczące skuteczniejszej wzajemnej pomocy prawnej (uproszczony system wzajemnej pomocy prawnej w odniesieniu do wniosków o udzielenie informacji o abonencie; międzynarodowe nakazy wydania dowodów; bezpośrednia współpraca między organami sądowymi we wnioskach o udzielenie wzajemnej pomocy prawnej; wspólne dochodzenia i wspólne zespoły dochodzeniowo-śledcze; wnioski w języku angielskim; audiowizualne przesłuchania świadków, ofiar i ekspertów; procedury wzajemnej pomocy prawnej w sytuacjach nadzwyczajnych); przepisy umożliwiające bezpośrednią współpracę z usługodawcami w innych jurysdykcjach w odniesieniu do wniosków o udzielenie informacji o abonencie, wniosków o zabezpieczenie dowodów oraz wniosków o udzielenie informacji w sytuacjach nadzwyczajnych; bardziej przejrzyste ramy i silniejsze gwarancje w odniesieniu do istniejących praktyk transgranicznego dostępu do danych; gwarancje, w tym wymogi w zakresie ochrony danych. (3)Unia przyjęła wspólne zasady, które w znacznym zakresie pokrywają się z elementami przewidzianymi do uwzględnienia w drugim protokole dodatkowym. Obejmuje to w szczególności kompleksowy zestaw instrumentów w celu ułatwienia współpracy wymiarów sprawiedliwości w sprawach karnych, zapewnienia minimalnych standardów praw procesowych oraz gwarancji w zakresie ochrony danych i prywatności.