16

Dyrektywa 2006/24 nakłada na dostawców ogólnie dostępnych usług łączności elektronicznej lub publicznych sieci łączności obowiązek zatrzymywania pewnych danych, jakie są przez nich generowane lub przetwarzane. W tym względzie art. 1–9, 11 oraz 13 tej dyrektywy stanowią: „Artykuł 1 Przedmiot i zakres stosowania 1. Celem niniejszej dyrektywy jest zbliżenie przepisów państw członkowskich w zakresie obowiązków dostawców ogólnie dostępnych usług łączności elektronicznej lub publicznych sieci łączności w zakresie zatrzymywania pewnych danych przez nie [nich] generowanych lub przetwarzanych, aby zapewnić dostępność przedmiotowych danych do celu dochodzenia, wykrywania i ścigania poważnych przestępstw, określonych w ustawodawstwie każdego państwa członkowskiego. 2. Niniejsza dyrektywa stosuje się do danych o ruchu i lokalizacji, dotyczących zarówno osób fizycznych, jak i prawnych, oraz do powiązanych z nimi danych niezbędnych do identyfikacji abonenta lub zarejestrowanego użytkownika. Nie odnosi się ona natomiast do treści komunikatów elektronicznych, w tym informacji uzyskiwanych przy użyciu sieci łączności elektronicznej. Artykuł 2 Definicje 1. Do celów niniejszej dyrektywy stosuje się definicje z dyrektywy 95/46/WE, dyrektywy 2002/21/WE Parlamentu Europejskiego i Rady z dnia 7 marca 2002 r. w sprawie wspólnych ram regulacyjnych sieci i usług łączności elektronicznej (dyrektywa ramowa) [...] oraz dyrektywy 2002/58/WE. 2. Do celów niniejszej dyrektywy: a) »dane« oznaczają dane o ruchu i lokalizacji oraz powiązane dane niezbędne do identyfikacji abonenta lub użytkownika; b) »użytkownik« oznacza każdą osobę fizyczną lub prawną korzystającą z ogólnie dostępnych usług łączności elektronicznej do celów prywatnych lub handlowych, niekoniecznie na podstawie abonamentu na te usługi; c) »usługa telefoniczna« oznacza połączenia (w tym połączenia głosowe, pocztę głosową oraz połączenia konferencyjne i transmisję danych), usługi dodatkowe (w tym przekazywanie połączeń i transfer połączeń), usługi w zakresie przekazywania wiadomości i usługi multimedialne (w tym krótkie wiadomości tekstowe (SMS), rozszerzone wiadomości tekstowe (EMS) i wiadomości multimedialne (MMS)); d) »identyfikator użytkownika« oznacza osobny i niepowtarzalny identyfikator przypisany każdej osobie opłacającej abonament lub będącej zarejestrowanym użytkownikiem usług dostępu do Internetu lub usług komunikacji internetowej; e) »identyfikator komórki« oznacza identyfikację komórki, z której rozpoczęto połączenie komórkowe bądź na której je zakończono; f) »nieudana próba połączenia« oznacza nawiązanie łączności, w którym połączenie nie zostało odebrane lub nastąpiła interwencja sieci. Artykuł 3 Obowiązek zatrzymywania danych 1. Na zasadzie odstępstwa od art. 5, 6 i 9 dyrektywy 2002/58/WE państwa członkowskie przyjmują środki w celu zagwarantowania, że dane określone w art. 5 niniejszej dyrektywy są zatrzymywane zgodnie z jej przepisami w stopniu, w jakim są generowane lub przetwarzane na ich terenie przez dostawców ogólnie dostępnych usług łączności elektronicznej lub publicznej sieci łączności w trakcie świadczenia odnośnych usług łączności. 2. Obowiązek zatrzymywania danych, określony w ust. 1, obejmuje również zatrzymanie danych określonych w art. 5 w przypadku nieudanych prób połączenia, podczas których dane te są generowane, przetwarzane i przechowywane (w przypadku danych telefonicznych) lub zapisywane w momencie logowania (w przypadku danych internetowych) przez dostawców ogólnie dostępnych usług łączności elektronicznej lub publicznej sieci łączności w trakcie świadczenia przedmiotowych usług łączności. Niniejsza dyrektywa nie wymaga zatrzymania danych w przypadku nieuzyskania połączenia telefonicznego. Artykuł 4 Dostęp do danych Państwa członkowskie podejmują środki w celu zagwarantowania, że dane zatrzymywane w myśl niniejszej dyrektywy są udostępniane jedynie właściwym organom krajowym, w szczególnych przypadkach i zgodnie z krajowym ustawodawstwem. Proces oraz warunki uzyskiwania dostępu do zatrzymanych danych, w przypadkach gdy został spełniony wymóg konieczności oraz proporcjonalności, są określone w prawie krajowym każdego państwa członkowskiego, podlegając odpowiednim przepisom prawa Unii Europejskiej lub międzynarodowego prawa publicznego, w szczególności EKPC, zgodnie z interpretacją Europejskiego Trybunału Praw Człowieka. Artykuł 5 Kategorie danych przeznaczonych do zatrzymywania 1. Państwa członkowskie zapewniają zatrzymywanie następujących kategorii danych zgodnie z niniejszą dyrektywą: a) dane niezbędne do ustalenia źródła połączenia: 1) w przypadku telefonii stacjonarnej i komórkowej: (i) numer nadawcy połączenia; (ii) nazwisko i adres abonenta lub zarejestrowanego użytkownika; 2) w przypadku dostępu internetowego, elektronicznej poczty internetowej i telefonii internetowej: (i) przyznany identyfikator użytkownika; (ii) identyfikator użytkownika i numer telefonu przydzielony każdemu przychodzącemu połączeniu w sieci telefonii publicznej; (iii) nazwisko i adres abonenta lub zarejestrowanego użytkownika, do którego w momencie połączenia należał adres IP, identyfikator użytkownika lub numer telefonu; b) dane niezbędne do ustalenia odbiorcy połączenia: 1) w przypadku telefonii stacjonarnej i komórkowej: (i) wybierany numer (numer (numery) odbiorcy (odbiorców) połączenia), a w przypadku dodatkowych usług, takich jak przekierowywanie lub przełączanie połączeń, numer (numery) na który(-e) połączenie jest przekierowywane; (ii) nazwisko (nazwiska) i adres (adresy) abonenta (abonentów) lub zarejestrowanego (zarejestrowanych) użytkownika (użytkowników); 2) w przypadku elektronicznej poczty internetowej i telefonii internetowej: (i) identyfikator użytkownika lub numer (numery) odbiorcy (odbiorców) połączenia w telefonii internetowej; (ii) nazwisko (nazwiska) i adres (adresy) abonenta (abonentów) lub zarejestrowanego (zarejestrowanych) użytkownika (użytkowników) i identyfikator użytkownika docelowego odbiorcy połączenia; c) dane niezbędne do określenia daty, godziny i czasu trwania połączenia: 1) w przypadku telefonii stacjonarnej i komórkowej: data i dokładny czas rozpoczęcia i zakończenia połączenia; 2) w przypadku elektronicznej poczty internetowej i telefonii internetowej: (i) data i godzina zalogowania i wylogowania sesji internetowej na podstawie danej strefy czasowej włącznie z adresem protokołu komunikacyjnego dynamicznego lub statycznego (IP) przydzielonym przez dostawcę usług internetowych dla danej komunikacji oraz identyfikatorem użytkownika abonenta lub zarejestrowanego użytkownika; (ii) data i godzina zalogowania i wylogowania z elektronicznej poczty internetowej i telefonii internetowej na podstawie danej strefy czasowej; d) dane niezbędne do określenia rodzaju połączenia: 1) w przypadku telefonii stacjonarnej i komórkowej: wykorzystana usługa telefoniczna; 2) w przypadku elektronicznej poczty internetowej i telefonii internetowej: wykorzystana usługa internetowa; e) dane niezbędne do określenia narzędzia komunikacji lub tego, co może służyć za narzędzie komunikacji: 1) w przypadku telefonii stacjonarnej i komórkowej: numery nadawcy i odbiorcy połączenia; 2) w przypadku telefonii komórkowej: (i) numery nadawcy i odbiorcy połączenia; (ii) międzynarodowy numer tożsamości telefonicznej abonenta mobilnego (IMSI) nadawcy połączenia; (iii) międzynarodowy numer fabryczny mobilnego aparatu telefonicznego (IMEI) nadawcy połączenia; (iv) IMSI odbiorcy połączenia; (v) IMEI odbiorcy połączenia; (vi) w przypadku anonimowych usług opłaconych z góry (pre-paid) data i dokładny czas początkowej aktywacji usługi oraz etykieta lokalizacji (identyfikator komórki), z której dokonano aktywacji; 3) w przypadku dostępu do Internetu, elektronicznej poczty internetowej i telefonii internetowej: (i) numer telefonu przy dostępie za pośrednictwem dial-up; (ii) identyfikator DSL lub inny identyfikator końcowy inicjatora połączenia; f) dane niezbędne do identyfikacji lokalizacji urządzenia komunikacji ruchomej: 1) etykieta lokalizacji (identyfikator komórki) na początku połączenia; 2) dane pozwalające ustalić położenie geograficzne komórek przez odniesienie się do ich etykiet lokalizacji (identyfikatorów komórki) w czasie, przez który zatrzymywane są dane odnośnie połączenia. 2. Zgodnie z niniejszą dyrektywą nie można zatrzymywać danych, które ujawniają treść komunikatu. Artykuł 6 Okresy zatrzymywania Państwa członkowskie gwarantują, że wymienione w art. 5 kategorie danych są zatrzymywane na okresy nie krótsze niż 6 miesięcy oraz nie dłuższe niż dwa lata od daty połączenia. Artykuł 7 Ochrona i bezpieczeństwo danych Bez uszczerbku dla postanowień przyjętych zgodnie z dyrektywą 95/46/WE i dyrektywą 2002/58/WE, każde państwo członkowskie gwarantuje, że dostawcy ogólnie dostępnych usług łączności elektronicznej lub publicznej sieci łączności respektują co najmniej następujące zasady dotyczące bezpieczeństwa danych w odniesieniu do danych zatrzymywanych zgodnie z niniejszą dyrektywą: a) zatrzymywane dane mają taką samą jakość i podlegają takim samym zasadom bezpieczeństwa i ochrony, jak dane w sieci; b) w stosunku do danych stosowane będą właściwe środki techniczne i organizacyjne w celu ochrony tych danych przed przypadkowym lub bezprawnym zniszczeniem, utratą lub zmianą, nieupoważnionym lub bezprawnym przechowywaniem, przetwarzaniem, dostępem lub ujawnieniem; c) w stosunku do danych stosowane będą właściwe środki techniczne i organizacyjne w celu zagwarantowania, że dostęp do danych ma jedynie upoważniony do tego personel; oraz d) wszystkie dane, z wyjątkiem tych, które zostały udostępnione i zachowane, zostaną zniszczone pod koniec okresu zatrzymania. Artykuł 8 Wymogi dotyczące przechowywania zatrzymywanych danych Państwa członkowskie gwarantują, że dane określone w art. 5 są zatrzymywane zgodnie z przepisami niniejszej dyrektywy, w sposób umożliwiający przekazanie właściwym organom na ich wniosek zatrzymywanych danych i wszelkich informacji odnoszących się do takich danych bez zbędnej zwłoki. Artykuł 9 Organ nadzorujący 1. Każde państwo członkowskie wyznacza jeden lub więcej organów publicznych odpowiedzialnych za nadzór nad stosowaniem na ich terytorium przepisów przyjętych przez państwa członkowskie zgodnie z art. 7 w odniesieniu do bezpieczeństwa przechowywanych danych. Organami tymi mogą być te same organy, o których mowa w art. 28 dyrektywy 95/46/WE. 2. Organy, o których mowa w ust. 1, są w pełni niezależne w wykonywaniu nadzoru, o którym mowa w tym ustępie. [...] Artykuł 11 Zmiana dyrektywy 2002/58/WE W art. 15 dyrektywy 2002/58/WE dodaje się ustęp w następującym brzmieniu: »1a. Ustępu 1 nie stosuje się do danych, których zatrzymywanie jest wyraźnie wymagane na mocy [dyrektywy 2006/24] dla celów określonych w art. 1 ust. 1 tej dyrektywy«. [...] Artykuł 13 Środki prawne, odpowiedzialność i sankcje 1. Wszystkie państwa członkowskie podejmują niezbędne środki w celu zagwarantowania, że działania krajowe służące wprowadzeniu w życie rozdziału III dyrektywy 95/46/WE, która przewiduje środki prawne, kary oraz określa zakres odpowiedzialności, są w pełni realizowane w odniesieniu do przetwarzania danych zgodnie z niniejszą dyrektywą. 2. Każde z państw członkowskich podejmuje w szczególności środki niezbędne do zagwarantowania, że jakikolwiek umyślny dostęp do danych zatrzymanych zgodnie z obecną dyrektywą lub ich przekazywanie, czego zabrania prawo krajowe przyjęte w oparciu o niniejszą dyrektywę, podlega sankcjom, w tym także sankcjom administracyjnym i karnym, które są skuteczne, proporcjonalne i mają charakter odstraszający”.