Inwigilacja ruchu przez granicę bez sądu: projekt UD404

Rządowy projekt UD404 daje Agencji Wywiadu i Służbie Wywiadu Wojskowego dostęp u operatorów do ruchu, w którym nadawca albo odbiorca jest za granicą. Kontrolę nad tym oddaje ministrowi koordynatorowi służb specjalnych, bez udziału sądu. Izby telekomunikacyjne piszą w konsultacjach, że tak napisana definicja obejmie też połączenia Polaków w roamingu i zwykłe rozmowy międzynarodowe. Fundacja Panoptykon nazywa to inwigilacją nieukierunkowaną i ocenia, że projekt jest w “rażącej sprzeczności” ze standardami Europejskiego Trybunału Praw Człowieka. Rząd odpowiada, że chodzi o wywiad elektroniczny na poziomie infrastruktury, a ruch krajowy zostaje wyłączony. Projekt z 7 sierpnia 2026 roku jest na etapie konsultacji publicznych i nie trafił jeszcze do Rady Ministrów. Projekt, uzasadnienie i stanowiska z konsultacji są jawne na karcie projektu w Rządowym Centrum Legislacji.

Czym jest projekt UD404 i na jakim etapie są prace

UD404 to projekt nowelizacji ustawy Prawo komunikacji elektronicznej. Daje dwóm służbom wywiadowczym prawo do pozyskiwania i przetwarzania informacji z “międzynarodowego ruchu telekomunikacyjnego”. Wnioskodawcą jest Minister-Członek Rady Ministrów Koordynator Służb Specjalnych, czyli Tomasz Siemoniak. Projekt ma cztery strony i dodaje do ustawy jedną definicję oraz sześć artykułów.

Karta projektu powstała 27 sierpnia 2026 roku. Uzgodnienia między ministerstwami ostatnio zmieniono 29 września, a etap konsultacji publicznych 7 października. Do konsultacji projekt rozesłano pismem z 15 września z 21-dniowym terminem na uwagi. Adresatami było sześć organizacji branżowych: PIIT, KIGEiT, PIKE, KIKE, Stowarzyszenie Inżynierów Telekomunikacji i Fundacja Open Allies. Następne etapy to Komitet Rady Ministrów do Spraw Cyfryzacji, Rada Ministrów i Sejm. Ustawa miałaby wejść w życie 30 dni po ogłoszeniu. Dziś nie ma żadnej daty, bo nie ma jeszcze nawet wersji przyjętej przez rząd.

Na zdjęciu wyróżniającym: siedziba Agencji Wywiadu przy ul. Miłobędzkiej 55 w Warszawie. Fot. Panek, Wikimedia Commons, licencja CC BY-SA 4.0. Zdjęcie przycięte do formatu 16:9.

Co dostają Agencja Wywiadu i SWW: przepisy projektu

Projekt nakłada na operatora dwa obowiązki i daje służbom jedno uprawnienie. Najważniejsze przepisy w skrócie:

• art. 43a: na pisemny wniosek Szefa Agencji Wywiadu albo Szefa SWW operator przekazuje szczegółowe informacje o swojej infrastrukturze i o podmiotach, którym świadczy usługę międzynarodowego ruchu. Zapewnia też warunki techniczne “jednoczesnego i wzajemnie niezależnego” dostępu obu służb do tego ruchu. Koszty dostępu ponoszą służby.
• art. 43b: informacje są przetwarzane “przez okres niezbędny” do zadań służb, a nieprzydatne trzeba usunąć. Przegląd zebranych danych odbywa się nie rzadziej niż raz na pół roku.
• art. 43c: informacje dotyczące spraw innych instytucji szefowie służb przekazują “właściwemu podmiotowi”.
• art. 43d: kontrolę nad tą działalnością sprawuje minister koordynator służb specjalnych, a gdy go nie ma, premier.
• art. 43e: raz w roku szefowie służb składają premierowi i koordynatorowi sprawozdanie. Wykazują w nim operatorów, do których wysłano zapytania, zawarte umowy oraz liczbę informacji, selektorów, przekazań, usunięć i nieprawidłowości.

Szczegóły techniczne ma określić rozporządzenie premiera. Projekt nie mówi, czy sprawozdanie będzie jawne. Nie przewiduje też udziału sądu na żadnym etapie.

Selektor to kryterium wyszukiwania, którym służba wyławia interesujące ją informacje z dużego strumienia danych. Może to być numer telefonu albo adres, ale też słowo kluczowe lub opis zjawiska. Dobór selektorów decyduje o tym, czyje dane zostaną przeanalizowane.

Kogo obejmie “międzynarodowy ruch telekomunikacyjny”

Projekt definiuje go jako transmisję informacji przez terytorium Polski, niezależnie od ich rodzaju. Warunek brzmi: “którego nadawcą lub odbiorcą jest podmiot znajdujący się poza terytorium Rzeczypospolitej Polskiej”. Wystarczy więc, że jedna strona komunikacji jest za granicą.

Krajowa Izba Gospodarcza Elektroniki i Telekomunikacji (KIGEiT) pisze w stanowisku z 6 października, że definicja “jak się wydaje objęłaby cały szereg usług”. Wymienia połączenia między Polakami w roamingu międzynarodowym i połączenia międzynarodowe. Izba zadaje autorom osiem pytań. Chce wiedzieć, czy chodzi tylko o rozmowy głosowe, czy też o SMS-y, łącza internetowe i sygnalizację sieci. Polska Izba Informatyki i Telekomunikacji wylicza pięć typów zwykłych połączeń, które mieszczą się w definicji. Należy do nich rozmowa Polaka dzwoniącego z wakacji za granicą do rodziny w kraju.

Najdalej idzie opinia prawna dr. hab. Marcina Rojszczaka, prof. Uniwersytetu Gdańskiego, którą Panoptykon dołączył do swojego stanowiska. Rojszczak zwraca uwagę, że operator nie wie, kto faktycznie jest nadawcą wiadomości. Widzi tylko, który węzeł sieci wysłał dane i do jakiego serwera mają trafić. Według opinii operator musiałby więc udostępnić służbom znaczną część ruchu internetowego. Zapowiadane oddzielenie ruchu krajowego autor nazywa “w najlepszym wypadku mocnym niedopowiedzeniem”. Polska Izba Komunikacji Elektronicznej dodaje, że definicja sięga też do komunikatorów, poczty elektronicznej, platform gier i serwisów streamingowych.

Fundacja Open Allies, zrzeszająca operatorów hurtowych sieci światłowodowych, zwraca uwagę na odwrotny problem. Jej członkowie nie mają abonentów ani danych pozwalających ustalić nadawcę. Dlatego wymóg selekcji ruchu jest dla nich według fundacji “technologicznie niewykonalny”.

Pierwsza Misja AI · Kodożercy

AI bez technikaliów – kurs i certyfikat

Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.

Zacznij Pierwszą Misję →

Racje rządu: dlaczego służby chcą dostępu do ruchu

Rząd uzasadnia projekt zagrożeniem ze strony obcych wywiadów i położeniem Polski. W uzasadnieniu czytamy, że Polska jest “kluczowym węzłem tranzytowym dla informacji przesyłanych w regionie Europy Środkowo-Wschodniej”. Obce służby mają według rządu nie tylko zbierać informacje, ale też organizować akcje dywersyjne zagrażające mieniu, zdrowiu i życiu obywateli. Dostęp do ruchu ma pozwolić wcześnie ostrzegać przed dywersją, terroryzmem i szpiegostwem.

Rząd podkreśla trzy rzeczy. Po pierwsze, projekt nie daje służbom nowych zadań, bo wywiad elektroniczny już dziś należy do ustawowych zadań AW i SWW. Bez dostępu do infrastruktury jest jednak według uzasadnienia “w dużej mierze niewykonalny”. Po drugie, działania z projektu “nie stanowią i nie wywołują skutku kontroli operacyjnej”, bo nie dotyczą konkretnych osób podejrzanych o przestępstwo. Po trzecie, prywatności mają chronić trzy gwarancje: ruch wyłącznie z podmiotami zagranicznymi, usuwanie informacji nieprzydatnych i “techniczne filtrowanie”, czyli systemy zapobiegające przypadkowej analizie komunikacji krajowej.

Część branży przyznaje rządowi rację co do celu. PIKE pisze, że jej członkowie padali niedawno ofiarą ataków DDoS “najprawdopodobniej z kierunku wschodniego (wg informacji z Urzędu Komunikacji Elektronicznej)” i dlatego popiera zwiększenie uprawnień wywiadu. KIGEiT zaczyna stanowisko od zdania, że rozumie potrzeby państwa w zakresie wywiadu elektronicznego. Nawet Panoptykon uznaje inicjatywę za potrzebną, bo samo prowadzenie takiej inwigilacji wymaga w Polsce regulacji.

Zastrzeżenia: brak sądu, selektory, tajemnice zawodowe i koszty

Krytycy kwestionują przede wszystkim zabezpieczenia. Najostrzej pisze Panoptykon. Według fundacji projekt “w obecnej formie” nie nadaje się do wdrożenia i trzeba go przygotować od nowa. Opinia Rojszczaka sprawdza projekt testem z wyroku Wielkiej Izby ETPC w sprawie Big Brother Watch przeciwko Wielkiej Brytanii z 25 maja 2021 roku. Ten test mówi, jakie minimum zabezpieczeń musi mieć prawo pozwalające państwu przechwytywać łączność międzynarodową.

Wady wskazane przez Panoptykon to przede wszystkim:

• brak niezależnej kontroli przed rozpoczęciem i po zakończeniu działań, sprawowanej przez sąd albo niezależny organ,
• brak kontroli nad tym, jakie selektory służby stosują i kto je zatwierdza,
• brak ochrony tajemnicy adwokackiej, obrończej i dziennikarskiej, zwłaszcza gdy dane trafiają na serwery za granicą, na przykład do zagranicznego hostingu, poczty albo usług przechowywania plików,
• brak rozróżnienia między surowym, przechwyconym strumieniem danych a informacjami już wybranymi do analizy,
• brak obowiązku przekazywania sprawozdania Sejmowi, choć szefowie AW i SWW już dziś podlegają jego kontroli.

Panoptykon zwraca też uwagę, że do konsultacji zaproszono wyłącznie organizacje branżowe, bez organizacji społecznych.

Izby gospodarcze krytykują głównie nieprecyzyjność i koszty. KIGEiT pyta, czy “dostęp” obejmuje tylko dane o połączeniach, czy także samą treść komunikacji. Zwraca uwagę, że ten dostęp “nie podlega kontroli sądowej”. Izba chce zapisać w ustawie, że nie wolno go wykorzystać do kontroli operacyjnej, a na dostosowanie sieci żąda co najmniej 36 miesięcy zamiast 30 dni. W tym samym stanowisku zaznacza, że jeden z jej członków, państwowy operator EXATEL, zgłosił zdanie odrębne. Konfederacja Lewiatan pisze o “istotnej ingerencji w tajemnicę komunikowania się” i nadzorze opartym na kontroli “wewnątrzadministracyjnej”. PIIT, KIGEiT i Lewiatan zgodnie chcą, żeby państwo pokryło nie tylko koszt samego dostępu, ale też budowy i utrzymania infrastruktury po stronie operatorów.

Inwigilacja ukierunkowana a nieukierunkowana: kto kontroluje służby

Inwigilacja to potoczna nazwa obserwowania ludzi i ich komunikacji przez państwo, najczęściej bez ich wiedzy. W prawie i w opinii Rojszczaka rozróżnia się dwa rodzaje. Ukierunkowana dotyczy konkretnej osoby, na przykład podsłuch telefonu podejrzanego, i w Polsce nazywa się kontrolą operacyjną. Nieukierunkowana polega na przechwytywaniu dużego strumienia łączności i szukaniu w nim informacji selektorami. Tę drugą rząd nazywa w uzasadnieniu wywiadem elektronicznym i monitoringiem transgranicznego ruchu.

Kto pilnuje służb w każdym z tych modeli, pokazuje tabela. Dane o Szwecji i Niemczech pochodzą z opinii Rojszczaka, nie z naszej analizy tamtejszych ustaw.

W pierwszym wierszu kontrolę sprawuje sąd, w drugim członek rządu, któremu służby podlegają, i właśnie o to toczy się spór. Rząd odpowiada, że to dwa różne środki: kontrola operacyjna szuka dowodów przeciw konkretnym osobom, a wywiad elektroniczny działa na poziomie infrastruktury.

Co zmienia ustawa, która wchodzi w życie 31 października

Ustawa z 4 września 2026 roku o wzmocnieniu nadzoru sądowego nad kontrolą operacyjną to osobna regulacja, która z projektem UD404 nie ma wspólnych przepisów. Została ogłoszona 30 września w Dzienniku Ustaw pod pozycją 1281 i wchodzi w życie 31 października 2026 roku. Dotyczy podsłuchów i innych form kontroli operacyjnej prowadzonych przez Policję, Straż Graniczną, Żandarmerię Wojskową, ABW, CBA, SKW, KAS i SOP. Przy Żandarmerii i SKW właściwy jest wojskowy sąd okręgowy. Przepisów o Agencji Wywiadu i SWW, których dotyczy UD404, ta ustawa nie zmienia.

Od 31 października sąd i prokurator mogą “w każdym czasie” zakończyć kontrolę operacyjną postanowieniem. Sąd musi uzasadniać swoje postanowienia i może zażądać materiałów zebranych przed złożeniem wniosku. Materiały, których nie wolno wykorzystać, służba niszczy w ciągu 3 miesięcy, w uzasadnionych przypadkach w ciągu 6. Ustawa nie wprowadza za to obowiązku powiadomienia osoby, którą inwigilowano, po zakończeniu kontroli.

Obie regulacje idą w przeciwnych kierunkach. Przy klasycznym podsłuchu państwo daje sądowi więcej władzy, a przy projektowanym dostępie wywiadu do ruchu z zagranicą sądu nie przewiduje wcale.

Co dalej z projektem UD404

Projekt musi jeszcze przejść przez Komitet do Spraw Cyfryzacji, Radę Ministrów i Sejm, a każda izba telekomunikacyjna prosi o warsztaty ze służbami przed dalszymi pracami. Jeśli rząd uwzględni uwagi, zmieni się przede wszystkim definicja ruchu międzynarodowego i zakres “dostępu”. Raportu z konsultacji jeszcze nie ma.

Dla zwykłego użytkownika nic się dziś nie zmienia. Uwagę do projektu może wysłać każdy przez przycisk “Wyślij komentarz do projektu” na karcie w RCL. Kto obawia się podsłuchu z innego źródła, na przykład aplikacji szpiegującej, znajdzie objawy i sposoby sprawdzenia w poradniku jak sprawdzić, czy telefon jest na podsłuchu. Inne obowiązki firm wobec państwa w obszarze cyberbezpieczeństwa opisaliśmy w tekście o obowiązkach z NIS2 i KSC.

Najczęstsze pytania

Czy Agencja Wywiadu będzie czytać moje maile?

Projekt tego nie rozstrzyga, bo nie określa, jakie informacje obejmuje “dostęp do ruchu”. O to właśnie pytają KIGEiT i Lewiatan: czy chodzi o dane o połączeniach, czy także o treść. Rząd zapewnia, że ruch krajowy jest wyłączony. Panoptykon odpowiada, że wiadomości wysyłane na serwery za granicą, na przykład do zagranicznej poczty, mogą trafić do zbieranego ruchu.

Czy przepisy UD404 już obowiązują?

Nie. To projekt w konsultacjach publicznych. Nie przyjął go rząd ani Sejm i nie ma daty wejścia w życie. Od 31 października obowiązuje inna ustawa, która wzmacnia nadzór sądu nad kontrolą operacyjną.

Czy UD404 to to samo co unijny Chat Control?

Nie. Chat Control to unijne przepisy o przeszukiwaniu wiadomości w komunikatorach pod kątem materiałów przedstawiających krzywdzenie dzieci. Spór o nie opisaliśmy w tekście o skanowaniu wiadomości w UE. UD404 to polski projekt ustawy o dostępie wywiadu do ruchu telekomunikacyjnego z zagranicą.

Podsumowanie

Projekt UD404 z 7 sierpnia 2026 roku zobowiązuje operatorów do zapewnienia Agencji Wywiadu i SWW dostępu do ruchu, w którym jedna strona jest za granicą. Kontrolę powierza ministrowi koordynatorowi służb specjalnych, bez udziału sądu. Rząd uzasadnia go położeniem Polski jako węzła tranzytowego i zagrożeniem dywersją, a ruch krajowy ma według niego zostać odfiltrowany. KIGEiT i PIIT piszą, że definicja obejmie też roaming i połączenia międzynarodowe Polaków. Panoptykon ocenia projekt jako sprzeczny ze standardami ETPC, a izby gospodarcze chcą doprecyzowania, finansowania z budżetu i dłuższego okresu na wdrożenie. Projekt jest w konsultacjach i nie ma daty wejścia w życie. Od 31 października zacznie za to obowiązywać osobna ustawa, która daje sądowi więcej kontroli nad klasycznymi podsłuchami.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.