Jestem adwokatką, blogerką i podróżniczką. Prowadzę dwa blogi prawnicze: "Angielskie Prawo dla Polaków" (od 2014 roku) oraz "Cyberlaw by Judyta" – blog o cyberprzestępczości, prawie własności intelektualnej i prawie nowych technologii.
Udzielam porad prawnych w ramach prowadzonej przeze mnie kancelarii EPOQUE Kancelaria Adwokacka. Obsługuję klientów zarówno w kraju, jak i za granicą. Kontakt: judyta.kasperkiewicz@adwokatura.pl.
Specjalizuję się w prawie i nowych technologiach, zarówno w aspekcie zawodowym, jak i naukowym. Główne obszary moich zainteresowań to:
1) prawo karne i cyberprzestępczość (przestępczość karnogospodarcza i karnoskarbowa, oszustwa komputerowe, phishing, hacking, ransomware, cyberstalking, cyberbullying, przestępstwa kryptowalutowe i inne),
2) prawo nowych technologii (e-commerce, startupy, FinTech, RegTech,
3) prawo własności intelektualnej (znaki towarowe, wzory przemysłowe, doradztwo dla branży kreatywnej, w tym oferującej odzież, perfumy i biżuterię)
Jutro odbędzie się IX Dzień Edukacji Prawnej, a już dzisiaj wzięłam udział w debacie z #PolskaPolicja na temat cyberprzemocy wśród młodzieży. Spotkania w szkołach są zawsze bardzo inspirujące. Dziękuję za zaproszenie.
Hejt, wyśmiewanie, groźby, udostępnianie kompromitujących zdjęć, fałszywe konta, stalking… To codzienność wielu młodych ludzi w sieci. Cyberprzemoc rani tak samo jak ta w realnym świecie – a czasem nawet bardziej.
Rozmawiajmy z młodzieżą. Reagujmy. Wspierajmy.
Jeśli widzisz przemoc w sieci – zgłoś to.
Jeśli doświadczasz hejtu – nie bój się prosić o pomoc.
Razem możemy stworzyć bezpieczniejszą przestrzeń online!
Właściciel centrum danych (data center) powinien znać kluczowe regulacje prawne, aby uniknąć kar finansowych, odpowiedzialności prawnej i problemów z klientami.
Ochrona Danych i Prywatność
Centra danych przechowują ogromne ilości informacji, od danych osobowych po poufne informacje firmowe. Muszą przestrzegać przepisów dotyczących ochrony danych.
RODO (GDPR) – jeśli centrum działa w UE lub obsługuje klientów z UE
Obowiązek ochrony danych osobowych.
Przechowywanie danych tylko przez określony czas.
Możliwość usunięcia danych na żądanie użytkownika („prawo do bycia zapomnianym”).
Zgłoszenie naruszenia danych do organów nadzorczych w ciągu 72 godzin.
Wysokie kary: do 20 mln EUR lub 4% globalnego obrotu firmy.
Ustawa o ochronie danych osobowych (Polska)
Zgodna z RODO, dodatkowo określa zasady dla polskich firm.
HIPAA (USA) – jeśli centrum danych obsługuje dane medyczne
Surowe zasady przechowywania i przetwarzania danych pacjentów.
PCI-DSS – jeśli przechowywane są dane kart płatniczych
Obowiązek szyfrowania danych finansowych.
Odpowiedzialność za Przechowywane Treści
Centrum danych może być pośrednikiem w przechowywaniu treści klientów, ale czy ponosi za nie odpowiedzialność?
Safe Harbor / Odpowiedzialność pośrednika
W UE i USA istnieją przepisy chroniące dostawców usług hostingowych, jeśli nie wiedzą o nielegalnych treściach przechowywanych przez klientów. Jeśli centrum danych zostanie poinformowane o naruszeniu prawa (np. piractwo, pornografia nielegalna, dane wykradzione), MUSI zareagować – np. usunąć treści. W UE obowiązuje Dyrektywa o Usługach Cyfrowych (DSA), która reguluje odpowiedzialność platform internetowych i centrów danych.
Jak unikać problemów?
Należy tworzyć jasne regulaminy dla klientów, procedury zgłaszania nielegalnych treści i monitorować wykorzystywania zasobów (np. duże transfery mogą wskazywać na hosting pirackich treści).
Wymogi dotyczące bezpieczeństwa (Cyberbezpieczeństwo)
Centra danych mogą być celem ataków hakerskich – wyciek danych może prowadzić do pozwów i kar finansowych.
NIS2 (UE) – Dyrektywa o bezpieczeństwie sieci i informacji
Centra danych mogą zostać uznane za kluczową infrastrukturę IT i muszą wdrożyć zaawansowane środki ochrony. Obowiązek raportowania cyberataków.
Ustawa o krajowym systemie cyberbezpieczeństwa (Polska)
Dotyczy firm strategicznych dla bezpieczeństwa państwa – niektóre centra danych mogą się do nich zaliczać.
Zabezpieczenia, które warto wdrożyć:
Szyfrowanie przechowywanych danych.
Systemy zapobiegania atakom (firewalle, IDS/IPS).
Regularne testy penetracyjne.
Regulacje Energetyczne i Środowiskowe
Ograniczenia emisji CO₂ i zużycia energii
UE wprowadza przepisy wymuszające redukcję śladu węglowego. Centra danych zużywają ogromne ilości energii – mogą być objęte specjalnymi regulacjami ekologicznymi.
Zielona energia i certyfikaty
W niektórych krajach korzystanie z energii odnawialnej umożliwia skorzystanie z ulg podatkowych.
Umowy i Regulaminy dla Klientów
Właściciel centrum danych powinien dobrze skonstruować umowy z klientami, aby uniknąć niejasności i sporów prawnych.
SLA (Service Level Agreement – Umowa o Poziomie Usług)
Określa gwarantowany czas działania (np. 99,99% uptime). Ustala kary umowne za przerwy w działaniu usług.
Regulamin korzystania z usług
Regulamin korzystania z usług powinien obejmować – zasady przechowywania danych, obowiązki klientów dotyczące bezpieczeństwa, procedury zgłaszania problemów i naruszeń prawa.
Możliwe Konsekwencje Prawne dla Właściciela
Grzywny i kary za naruszenie RODO lub przepisów cyberbezpieczeństwa.
Pozwy od klientów za awarie lub utratę danych.
Konsekwencje prawne za przechowywanie nielegalnych treści (np. naruszenia praw autorskich, dane nielegalne).
Problemy z regulatorami rynku (np. UODO, UKE, Komisja Europejska).
Chociaż terminy serwerownia i centrum danych (data center) są czasem używane zamiennie, mają różne znaczenia i skalę działania.
Serwerownia
Serwerownia to pomieszczenie lub niewielka infrastruktura, w której znajdują się serwery i urządzenia sieciowe. Jest ona zazwyczaj częścią większej organizacji (np. firmy, uczelni, instytucji).
Cechy serwerowni:
Lokalna skala – obsługuje jedną organizację, np. firmę czy instytucję.
Mniejsza infrastruktura – zwykle od kilku do kilkudziesięciu serwerów.
Brak usług komercyjnych – serwerownia nie oferuje publicznych usług hostingowych.
Przykłady serwerowni:
Serwerownia w firmie obsługująca systemy księgowe i e-mail.
Serwerownia na uczelni przechowująca dane studentów.
Centrum Danych (Data Center)
Centrum danych to duża, profesjonalna infrastruktura, która może obsługiwać wiele organizacji i klientów na całym świecie.
Cechy centrum danych:
Duża skala – może zajmować całe budynki i przechowywać setki tysięcy serwerów.
Zaawansowana infrastruktura – redundantne systemy chłodzenia, zasilania, ochrony przeciwpożarowej.
Dostępność 24/7 – zapewnia ciągłość działania dla wielu klientów.
Usługi w chmurze – oferuje hosting, przechowywanie danych, obliczenia w chmurze.
Przykłady centrów danych:
Google Data Centers – obsługuje Google Search, YouTube, Gmail.
Amazon AWS Data Centers – zapewnia moc obliczeniową dla milionów klientów.
Equinix Data Centers – globalny dostawca kolokacji i chmury.
Podsumowanie
Serwerownia to lokalne rozwiązanie dla firm i instytucji, a centrum danych to profesjonalna infrastruktura obsługująca miliony użytkowników i globalne usługi.
Autonomiczne samochody to jedna z licznych technologii, której wprowadzenie rodzi liczne wyzwania prawne. Wątpliwości regulacyjne dotyczą odpowiedzialności za wypadki, standardów bezpieczeństwa, ochrony danych oraz kwestii etycznych.
Poziomy autonomii a regulacje
SAE (Society of Automotive Engineers) definiuje 6 poziomów autonomii (0-5):
Poziom 0 – brak automatyzacji.
Poziom 1-2 – systemy wspomagające kierowcę (np. tempomat adaptacyjny, asystent pasa ruchu, systemy Tesli).
Poziom 3 – samochód może samodzielnie prowadzić w określonych warunkach, ale kierowca musi być gotowy do przejęcia kontroli.
Poziom 4 – pełna autonomia w określonych warunkach (np. w miastach z odpowiednią infrastrukturą).
Poziom 5 – pełna autonomia w każdych warunkach, brak potrzeby interwencji człowieka.
Obowiązujące prawo zazwyczaj pozwala na testowanie poziomu 3-4, a poziom 5 nie jest jeszcze w pełni uregulowany.
Odpowiedzialność prawna w razie wypadku
Jednym z największych wyzwań jest określenie kto ponosi odpowiedzialność za wypadki z udziałem autonomicznych samochodów. Istnieją różne modele odpowiedzialności:
Aktualne podejście prawne w różnych krajach
USA
Regulacje różnią się między stanami (np. Kalifornia wymaga testów bezpieczeństwa).
Wypadki analizowane są indywidualnie – może odpowiadać producent lub użytkownik.
UE
W 2022 r. Unia Europejska dopuściła jazdę autonomiczną poziomu 3 (np. Mercedes-Benz S-Class Drive Pilot).
Planowane są zmiany w prawie, by odpowiedzialność ponosił producent, a nie kierowca.
Polska – brak dedykowanych regulacji – obecnie autonomiczne pojazdy wymagają obecności kierowcy.
Modele odpowiedzialności:
Tradycyjny model – kierowca nadal odpowiada za pojazd (jak w obecnych systemach wspomagających).
Odpowiedzialność producenta – gdy samochód działa w pełni autonomicznie (np. Tesla w trybie FSD).
Nowe systemy ubezpieczeniowe – np. specjalne polisy pokrywające wypadki spowodowane przez AI.
Etyka i decyzje podejmowane przez AI
Kogo „powinien” chronić autonomiczny pojazd w sytuacji kolizji?
Czy algorytmy mogą być „stronnicze” i faworyzować określone grupy ludzi?
Kto odpowiada za błędy sztucznej inteligencji?
Niektóre kraje (np. Niemcy) stworzyły kodeks etyczny, który mówi, że autonomiczne pojazdy nie mogą podejmować decyzji na podstawie wieku, płci czy statusu społecznego ofiar. Dodatkowo w razie zagrożenia wypadkiem, dokonując wyboru mają stosować hierarchię, w której bezpieczeństwo ludzi będzie się plasowało najwyższej, a następnie zwierząt i mienia.
Prywatność i ochrona danych
Autonomiczne pojazdy zbierają ogromne ilości danych (GPS, monitoring kierowcy, rejestracja trasy). W UE obowiązuje RODO, które wymaga jasnych zasad przechowywania i przetwarzania danych.
Kluczowe wyzwania prawne
Odpowiedzialność prawna – kto ponosi konsekwencje wypadków?
Standaryzacja regulacji – różnice między krajami utrudniają rozwój technologii.
Retencja danych to zasady i praktyki dotyczące przechowywania i usuwania danych przez organizacje, firmy oraz instytucje państwowe. Prawo reguluje i określa, jak długo i w jakim celu można przechowywać określone dane, a także jakie obowiązki mają podmioty przetwarzające informacje.
Kluczowe aspekty prawne retencji danych
1) Retencja danych osobowych (RODO/GDPR)
Unia Europejska (RODO – GDPR):
Zasada ograniczenia przechowywania – dane osobowe nie mogą być przechowywane dłużej, niż jest to niezbędne do celów, dla których zostały zebrane.
Użytkownicy mają prawo do żądania usunięcia danych („prawo do bycia zapomnianym”).
Firmy muszą określać okresy przechowywania danych i informować o nich użytkowników.
2) Retencja danych telekomunikacyjnych i internetowych
W UE (Dyrektywa o retencji danych – uchylona w 2014 r.)
Wymagała od operatorów telekomunikacyjnych przechowywania metadanych (np. historia połączeń, IP) przez 6-24 miesiące dla celów ścigania przestępstw. Została uchylona przez Trybunał Sprawiedliwości UE z powodu naruszenia prywatności
Polska (Prawo telekomunikacyjne, ustawa o policji)
Operatorzy muszą przechowywać dane o połączeniach (metadane) przez 12 miesięcy i udostępniać je służbom na żądanie. Istnieją kontrowersje dotyczące nadmiernej inwigilacji obywateli.
3) Retencja w sektorze finansowym i biznesowym
Banki i instytucje finansowe muszą przechowywać dokumentację klientów i transakcji przez określony czas (np. 5-10 lat zgodnie z przepisami o przeciwdziałaniu praniu pieniędzy – AML).
Pracodawcy muszą przechowywać dokumenty pracownicze (np. umowy, listy płac) przez 50 lat (dla umów sprzed 2019) lub 10 lat (dla nowych umów).
4) Retencja danych w chmurze i big data
Przepisy wymagają, aby dane przechowywane w chmurze były odpowiednio chronione i nie przechowywane dłużej, niż to konieczne. Firmy muszą określać politykę retencji danych, czyli zasady ich przechowywania i usuwania.
Największe wyzwania prawne retencji danych
Równowaga między prywatnością a bezpieczeństwem publicznym.
Wpływ big data i AI na długoterminowe przechowywanie danych.
Kwestia jurysdykcji – gdzie dane są przechowywane (np. USA vs. UE).
Dyrektor szkoły rozpoznając wniosek rodzica musi mieć na uwadze przepisy RODO, ponieważ nagrania monitoringu mogą zawierać wizerunki innych uczniów, a to oznacza przetwarzanie ich danych osobowych. Jednak rodzic ma prawo do ochrony interesów swojego dziecka, zwłaszcza jeśli było uczestnikiem incydentu.
Co mówi prawo?
Monitoring w szkołach
Zgodnie z art. 108a Prawa oświatowego, szkoły mogą stosować monitoring wizyjny, ale nie mogą go wykorzystywać do stałego kontrolowania zachowań uczniów.
RODO a dostęp do nagrań
RODO faktycznie chroni wizerunek innych osób. Szkoła może udostępnić nagranie, ale musi anonimizować wizerunki pozostałych uczestników, np. poprzez rozmycie twarzy.
Prawo do informacji
Zgodnie z art. 15 RODO, jako przedstawiciel ustawowy dziecka masz prawo do informacji o przetwarzaniu jego danych osobowych, co może obejmować wgląd w nagranie.
Obowiązki szkoły
Szkoła może odmówić dostępu do surowego nagrania, ale powinna je przeanalizować i udostępnić wyjaśnienie lub wybrane fragmenty po anonimizacji innych osób.
Co można zrobić?
Złożyć pisemny wniosek o udostępnienie nagrania, powołując się na interes dziecka i możliwość anonimizacji nagrania.
Zażądać sporządzenia opisu zdarzenia na podstawie nagrania.
Zgłosić skargę do UODO (Urząd Ochrony Danych Osobowych), jeśli uważasz, że szkoła bezpodstawnie odmawia dostępu.
Podsumowując, dyrektor reprezentujący szkołę powinien znaleźć rozwiązanie i udostępnić nagranie, np. poprzez anonimizację nagrania lub przedstawienie jego treści w innej formie.
Jeśli incydent dotyczył Twojego dziecka, masz prawo domagać się informacji o zdarzeniu.
Jeśli chcesz zamontować kamery na swojej działce, musisz przestrzegać przepisów dotyczących ochrony prywatności (RODO) oraz Kodeksu cywilnego.
Gdzie można montować monitoring na działce?
Można monitorować (nagrywać):
Swój dom, ogród, podjazd, garaż,
Własny teren, na którym masz prawo przebywać,
Obszar publiczny (np. chodnik) tylko w minimalnym zakresie, jeśli to konieczne do ochrony mienia.
Nie można monitorować (nagrywać):
Sąsiednich posesji bez zgody właścicieli,
Wspólnych terenów (np. osiedlowego parkingu, jeśli nie masz zgody wspólnoty mieszkaniowej),
Wnętrza budynków sąsiadów lub ich prywatnej przestrzeni,
Miejsc, które naruszają prywatność innych (np. okien sąsiadów, basenów, altanek).
Czy trzeba zgłaszać monitoring?
Dla osób prywatnych (na własnym terenie) – nie trzeba zgłaszać monitoringu do urzędów.
Jeśli monitoring obejmuje osoby trzecie (np. klientów, pracowników, wspólne tereny) – może podlegać RODO i wymaga spełnienia dodatkowych obowiązków (np. informowania o nagrywaniu).
Jeśli kamera obejmuje cudzą posesję, sąsiad może żądać jej usunięcia – sądy uznają takie przypadki za naruszenie prywatności (art. 23 i 24 Kodeksu cywilnego).
Czy trzeba oznaczyć monitoring?
Jeśli monitoring nagrywa tylko Twój teren, nie ma takiego obowiązku.
Jeśli nagrywasz przestrzeń publiczną lub osoby trzecie – warto umieścić tabliczkę „Obiekt monitorowany”, aby uniknąć konfliktów prawnych.
Co z przechowywaniem nagrań?
Dla celów prywatnych – możesz przechowywać nagrania bez limitu, ale nie możesz ich udostępniać publicznie.
W firmach lub wspólnotach mieszkaniowych – nagrania powinny być usuwane po maks. 3 miesiącach (chyba że dotyczą przestępstwa).
Co zrobić, jeśli sąsiad monitoruje Twoją posesję?
Masz prawo do ochrony prywatności! Możesz:
Porozmawiać z sąsiadem i poprosić o zmianę ustawienia kamery.
Wezwać policję lub zgłosić naruszenie do UODO, jeśli kamera ewidentnie narusza Twoją prywatność.
Złożyć pozew cywilny (np. o naruszenie dóbr osobistych).
Podsumowanie
Możesz nagrywać swoją działkę, ale nie cudzą własność.
Jeśli kamera obejmuje przestrzeń publiczną, musi być to uzasadnione ochroną mienia.
Nagrywanie sąsiada bez jego zgody może być naruszeniem prywatności.
W firmach i wspólnotach obowiązują przepisy RODO dotyczące przechowywania nagrań.
Najlepiej ustawić kamery tak, aby obejmowały tylko Twój teren – to rozwiązuje większość problemów.
Wraz z rosnącą liczbą obiektów wynoszonych w przestrzeń kosmiczną wzrasta ryzyko ich powrotu na Ziemię w sposób niekontrolowany.
Regulacja międzynarodowa o odpowiedzialności za szkody kosmiczne
Konwencja o międzynarodowej odpowiedzialności za szkody wyrządzone przez obiekty kosmiczne z 1972 roku (tzw. Konwencja o odpowiedzialności za szkody kosmiczne) reguluje odpowiedzialność państw za szkody wyrządzone przez ich obiekty kosmiczne. Konwencja weszła w życie co do Polski (Polskiej Rzeczypospolitej Ludowej) 25 stycznia 1973 roku. W kontekście obiektów wracających na Ziemię kluczowe są następujące zasady:
Odpowiedzialność absolutna
Zgodnie z art. II konwencji, państwo odpowiada absolutnie za szkody wyrządzone na powierzchni Ziemi lub statkom powietrznym w locie przez jego obiekt kosmiczny. Oznacza to, że nie musi być dowiedzione zaniedbanie czy wina – wystarczy sam fakt wyrządzenia szkody.
Odpowiedzialność za szkody w przestrzeni kosmicznej
Jeśli szkoda została wyrządzona innemu obiektowi kosmicznemu lub osobom w przestrzeni kosmicznej, państwo odpowiada na zasadzie winy (art. III).
Państwo odpowiedzialne
Odpowiedzialność ponosi:
Państwo, które wystrzeliło obiekt kosmiczny,
Państwo, z którego terytorium lub obiektu wystrzelono obiekt,
Państwo, które współuczestniczyło w wystrzeleniu (art. I).
Procedura dochodzenia roszczeń
Roszczenia o odszkodowanie powinny być zgłoszone drogą dyplomatyczną przez państwo poszkodowane do państwa odpowiedzialnego w ciągu roku od zdarzenia (art. IX-X).
Brak limitu odszkodowania – Konwencja nie przewiduje maksymalnej kwoty odszkodowania, a jego wysokość powinna być ustalona w drodze negocjacji między państwami.
Najbardziej znany przypadek wypłaty odszkodowania
Przykładem zastosowania konwencji było odszkodowanie wypłacone przez ZSRR Kanadzie w 1981 roku za szkody wyrządzone przez spadający satelitę Kosmos 954, który rozpadł się nad terytorium Kanady, rozrzucając radioaktywne szczątki. Zapłacono Kanadzie jedynie 10% jej wydatków na poszukiwania i usuwania szczątków satelitów.
Podsumowanie
Konwencja o odpowiedzialności za szkody kosmiczne odgrywa kluczową rolę w regulowaniu skutków powrotu obiektów kosmicznych na Ziemię. W dobie rosnącej liczby startów rakiet i misji kosmicznych jej znaczenie jest coraz większe, zwłaszcza w kontekście ryzyka niekontrolowanych upadków satelitów i innych fragmentów sprzętu kosmicznego.
Czy według Was obecne regulacje są wystarczające w kontekście rosnącego ruchu kosmicznego? 🚀🔍
Przesyłanie skanu dowodu osobistego na platformy internetowe zawsze wiąże się z pewnym ryzykiem, dlatego warto zachować ostrożność. Przed przesłaniem tak wrażliwych danych warto sprawdzić kilka kwestii:
Polityka prywatności i regulamin – Upewnij się, że portal jasno określa, w jaki sposób przechowuje i zabezpiecza Twoje dane oraz kto ma do nich dostęp.
Bezpieczeństwo transmisji – Sprawdź, czy strona korzysta z szyfrowania SSL (powinna zaczynać się od „https://”).
Cel weryfikacji – Dowiedz się, czy portal umożliwia zamazanie niektórych danych (np. numeru PESEL), jeśli nie są one wymagane do weryfikacji.
Alternatywne metody weryfikacji – Niektóre serwisy pozwalają na weryfikację przez bankowość elektroniczną zamiast skanu dowodu.
Ostrzeżenia UODO – Urząd Ochrony Danych Osobowych zaleca ostrożność w przesyłaniu skanów dowodów online, ponieważ ich przechwycenie może prowadzić do kradzieży tożsamości.
Jeśli zdecydujesz się przesłać skan, warto dodać znak wodny z informacją o celu użycia (np. „Tylko do weryfikacji na ……”), co utrudni ewentualne nieautoryzowane wykorzystanie dokumentu.
Podsumowując: jeśli portal ma dobre opinie, stosuje zabezpieczenia i jasno określa, jak przetwarza Twoje dane, ryzyko jest mniejsze, ale zawsze warto zachować ostrożność.
Współpraca różnych państw w zakresie cyberprzestępczości przynosi liczne korzyści, ale nie jest pozbawiona wyzwań i problemów, które mogą wpływać na jej efektywność. Oto główne problemy, które można dostrzec na przykładzie Polski i Stanów Zjednoczonych:
Różnice w regulacjach prawnych
Ochrona danych osobowych (RODO vs. CLOUD Act)
Problem: Polska jako państwo członkowskie UE, musi przestrzegać RODO, które nakłada ścisłe zasady dotyczące ochrony danych osobowych. Jednocześnie USA korzysta z CLOUD Act, który umożliwia dostęp do danych przechowywanych przez amerykańskie firmy IT, nawet jeśli dane te znajdują się w UE.
Konflikt: RODO wymaga zgody użytkownika lub krajowych organów na przekazywanie danych poza UE, co może być sprzeczne z amerykańskimi żądaniami dostępu do danych.
Efekt: Opóźnienia w dostępie do dowodów cyfrowych lub ryzyko naruszenia przepisów UE.
Różne podejście do prywatności
USA ma bardziej liberalne podejście do monitorowania danych w imię bezpieczeństwa narodowego, co budzi obawy w krajach UE, w tym w Polsce, o nadmierne ingerencje w prywatność obywateli.
Trudności proceduralne
Czasochłonność procedur MLAT
Problem: Procedury wzajemnej pomocy prawnej (MLAT) są biurokratyczne i czasochłonne, co jest nieefektywne w dynamicznych sytuacjach, takich jak ataki ransomware czy włamania do systemów IT.
Efekt: Cyberprzestępcy mogą ukrywać swoją działalność, zanim dowody zostaną zebrane, a ich działania mogą eskalować.
Brak jednolitych procedur
Polska i USA, mimo współpracy, wciąż nie mają zharmonizowanych procedur, które umożliwiałyby szybką wymianę informacji lub dowodów w postępowaniach karnych. Brakuje również uproszczonych mechanizmów dla przypadków nagłych.
Jurysdykcja nad danymi
Geograficzne rozproszenie danych
W epoce chmury obliczeniowej dane często są przechowywane w różnych lokalizacjach, co prowadzi do problemów z ustaleniem, które przepisy prawne mają zastosowanie.
Efekt: Opóźnienia w śledztwach i trudności w uzyskaniu dostępu do kluczowych danych.
Konflikty kompetencji
Gdy Polska prowadzi śledztwo, a dane znajdują się na serwerach w USA (lub odwrotnie), może dochodzić do sporów o to, który kraj ma prawo do dostępu do tych danych i ich wykorzystania.
Braki techniczne i zasobowe
Niedobory w Polsce
Polska, mimo utworzenia CBZC, wciąż ma ograniczone zasoby ludzkie i technologiczne w porównaniu do USA.
Efekt: Trudności w równorzędnej współpracy w skomplikowanych śledztwach wymagających zaawansowanej analizy danych lub szybkiej reakcji na incydenty.
Nierówności w dostępnych narzędziach
Amerykańskie służby mają dostęp do bardziej zaawansowanych technologii analitycznych, sztucznej inteligencji i systemów monitorowania, co może prowadzić do asymetrii w działaniach.
Ataki z terytoriów państw trzecich
Cyberprzestępcy z Rosji, Chin i innych państw
Wielu cyberprzestępców, którzy atakują Polskę i USA, działa z krajów, które nie współpracują w zwalczaniu cyberprzestępczości (np. Rosja, Korea Północna, Chiny).
Problem: Brak możliwości skutecznego ścigania sprawców z tych terytoriów, mimo współpracy polsko-amerykańskiej.
Wykorzystywanie państw „przechowalni” danych
Cyberprzestępcy często wykorzystują serwery w państwach, które są mniej zaawansowane technologicznie i nie mają silnych systemów współpracy prawnej.
Koordynacja międzynarodowa
Złożoność operacji wielostronnych: Operacje przeciwko globalnym grupom cyberprzestępczym, takim jak REvil czy Emotet, wymagają współpracy wielu państw jednocześnie. Problemy z koordynacją działań, np. z synchronizacją czasu ataków na infrastrukturę przestępców czy z podziałem odpowiedzialności za dalsze śledztwa.
Wyzwania językowe i kulturowe: Różnice językowe, proceduralne i kulturowe między służbami Polski i USA mogą prowadzić do nieporozumień lub opóźnień w komunikacji.
Wzrost zagrożeń związanych z AI i technologiami przyszłości
Narzędzia cyberprzestępców: Cyberprzestępcy coraz częściej wykorzystują sztuczną inteligencję i zaawansowane technologie (np. deepfake) do oszustw, co utrudnia śledztwa. Polska może nie mieć takich samych możliwości jak USA w przeciwdziałaniu takim zagrożeniom.
Rozwój technologii szyfrujących: Przestępcy korzystają z zaawansowanych systemów szyfrujących, co utrudnia dostęp do ich komunikacji lub danych nawet w przypadku międzynarodowej współpracy.
Współpraca z sektorem prywatnym
Brak wystarczającej koordynacji: Firmy technologiczne w USA, takie jak Google, Meta czy Amazon, mają kluczowe znaczenie dla śledztw, ale współpraca z nimi bywa trudna. Problemem są różnice w przepisach i wewnętrznych politykach korporacji mogą opóźniać przekazywanie danych.
Zaufanie firm do organów ścigania: W Polsce firmy mogą mieć obawy co do przekazywania danych ze względu na obostrzenia RODO, a w USA niektóre korporacje stawiają własne interesy nad współpracą z rządami.
Podsumowanie
Główne problemy we współpracy Polski i USA w zakresie cyberprzestępczości wynikają z różnic w przepisach prawnych, trudności proceduralnych, wyzwań technicznych oraz dynamicznego rozwoju zagrożeń cybernetycznych. Chociaż współpraca przynosi pozytywne efekty, dalszy jej rozwój wymaga:
Uproszczenia procedur prawnych (np. MLAT).
Harmonizacji przepisów dotyczących ochrony danych.
Rozwoju zasobów technologicznych i ludzkich w Polsce.
Zacieśnienia współpracy z sektorem prywatnym oraz w ramach organizacji wielostronnych, takich jak NATO i UE.
Jutro odbędzie się IX Dzień Edukacji Prawnej, a już dzisiaj wzięłam udział w debacie z #PolskaPolicja na temat cyberprzemocy wśród młodzieży. Spotkania w szkołach są zawsze bardzo inspirujące.
Dziękuję za zaproszenie.
Jeśli widzisz przemoc w sieci – zgłoś to.
