Raport o Pegasusie i co dalej? "Plemienna wojna przesłania prawdziwy problem ze służbami"

Sejm powołał komisję śledczą ds. Pegasusa w styczniu 2024 roku. Przez ponad dwa lata badała, jak w latach 2015–2023 służby, prokuratura i członkowie ówczesnego rządu korzystali z izraelskiego oprogramowania szpiegującego. W poniedziałek 12 października przewodnicząca Magdalena Sroka przedstawiła jawną część raportu końcowego.

Dokument liczy 700 stron i dotyczy m.in. zakupu, finansowania, legalności oraz bezpieczeństwa systemu. Obejmuje wykorzystanie Pegasusa m.in. przez członków Rady Ministrów, służby specjalne, policję i prokuraturę w okresie od 16 listopada 2015 do 20 listopada 2023 roku. To pierwszy w historii polskich komisji śledczych raport trójwarstwowy. Ma część jawną, część tajną udostępnianą posłom na tajnym posiedzeniu Sejmu oraz dokument z klauzulą "ściśle tajne" dla wybranych adresatów. Przez ponad dwa lata komisja przesłuchała 77 świadków.

Według komisji zakup Pegasusa był decyzją polityczną. Zapadła na styku Ministerstwa Sprawiedliwości kierowanego wówczas przez Zbigniewa Ziobrę oraz pionu służb specjalnych nadzorowanego przez Mariusza Kamińskiego i Macieja Wąsika. System trafił do CBA jesienią 2017 roku. Większość z 25 mln zł wydanych na zakup pochodziła z Funduszu Sprawiedliwości, czyli z pieniędzy przeznaczonych m.in. na pomoc ofiarom przestępstw. Zdaniem komisji już to oznaczało złamanie prawa.

Jeszcze poważniej brzmią wnioski dotyczące bezpieczeństwa. Zdaniem komisji Pegasus działał bez wymaganej akredytacji, a więc bez gwarancji, że dane są należycie chronione. I nie chodzi tylko o to, że akredytacji nie było – nikt nawet o nią nie wystąpił.

Izraelski producent, firma NSO Group, miał z kolei dostęp do elementów systemu. Mówiąc wprost: polskie państwo nie miało nad Pegasusem kontroli. Według raportu narzędzie, które miało służyć walce z terroryzmem i przestępczością zorganizowaną, wykorzystywano także przeciwko ówczesnej opozycji i sędziom. Dodajmy, że Pegasus to nie zwykły podsłuch – po zainfekowaniu telefonu daje dostęp do wiadomości, zdjęć, kontaktów i plików, może też włączyć mikrofon i kamerę. Wszystko bez wiedzy właściciela urządzenia.

Komisja skierowała do prokuratury zawiadomienia o możliwości popełnienia przestępstwa wobec 11 osób. Są wśród nich m.in. Zbigniew Ziobro, Mariusz Kamiński, Maciej Wąsik i Michał Woś (wszyscy z PiS). W trakcie prac komisja wysłała też 11 wniosków o zatrzymanie i przymusowe doprowadzenie świadków oraz wnioski o uchylenie immunitetów, w tym europosłów Kamińskiego i Wąsika.

Obóz rządzący mówi o rozliczeniach poprzedniej władzy. Politycy PiS od początku nazywają komisję narzędziem politycznej zemsty. Prawicowe media przekonują, że dostęp producenta do danych to w branży standard, a rząd Donalda Tuska wykorzystuje sprawę do ścigania obecnej opozycji. Pojawiały się też zarzuty, że komisja nie zawsze trzymała się procedur, np. przy doręczaniu wezwań.

Po przyjęciu raportu i wyznaczeniu terminu przez marszałka Włodzimierza Czarzastego dokument trafi pod obrady Sejmu, w części jawnej i tajnej. O tym, czy ktoś usłyszy zarzuty, zdecyduje prokuratura.

Fundacja Panoptykon, która od lat zajmuje się ochroną prywatności i nadzorem nad służbami, patrzy na sprawę szerzej. Jej zdaniem afera z Pegasusem jak w soczewce pokazuje, do czego prowadzi to, że polskie służby od dekad działają w szarej strefie. Korzystały z nielegalnego oprogramowania, wyłudzały zgody prokuratorów i sądów, inwigilowały na polityczne zlecenie i narażały tajemnice państwa.

– Wiemy już, że informacje pozyskiwane przez polskie służby za pomocą Pegasusa mogły być przekazywane do Izraela. Polskie służby od dekad działają w sferze szarości. Afera Pegasusa jak w soczewce pokazuje, do czego prowadzi ten stan. Służby korzystały z nielegalnego oprogramowania, wyłudzały zgody prokuratorów i sądów, inwigilowały na polityczne zlecenie i narażały tajemnice państwowe – mówi naTemat.pl Wojciech Klicki, wiceprezes Fundacji Panoptykon, który od początku obserwował prace komisji śledczej i analizował zbierane przez nią materiały.

– Plemienna wojna między zwalczającymi się partiami politycznymi i dyskusja o odpowiedzialności osób odpowiedzialnych za stosowanie Pegasusa nie może przesłaniać problemu braku przejrzystej, skutecznej kontroli nad służbami. Aktualna władza może nadużywać oprogramowania szpiegującego podobnie jak poprzednia. Dlatego dzisiejsza publikacja raportu komisji śledczej nie powinna kończyć dyskusji o Pegasusie, tylko być impulsem do zmian, które w końcu uregulują jego wykorzystywanie – dodaje ekspert.

Mateusz Przyborowski, naTemat.pl: Śledzi pan prace komisji od początku. Co w dzisiejszym raporcie jest naprawdę nowe, a co jest tylko oficjalnym potwierdzeniem tego, co wiedzieliśmy już wcześniej?

Wojciech Klicki: Na razie znam tylko ustne przedstawienie efektów prac komisji. I skupię się na tym, czego w nim zabrakło. Komisja nie przesądziła, czy Pegasus jest dopuszczalny w polskim systemie prawnym ani o niezbędnych zmianach w kontroli nad służbami, które zabezpieczą nas przed podobnymi aferami. Bez tych zmian, jak słyszeliśmy wielokrotnie na konferencji, tajemnice Polski są zagrożone, a obywatele i obywatelki Polski nadal mogą paść ofiarą inwigilacji na polityczne zlecenie.

Z ust posłów i posłanek wielokrotnie padło stwierdzenie, że służby powinny mieć skuteczne narzędzia. Przypominali również, na jak głęboką ingerencję w prywatność pozwala Pegasus, jak wykracza poza to, co przewidują aktualne przepisy, oraz jak wadliwy jest system nadzoru sądowego. Wyciągam z tego jedyny możliwy logicznie wniosek: potrzebujemy "zalegalizować oprogramowanie szpiegujące", a zatem wprowadzić przepisy, które przesądzą, że korzystanie z niego jest zgodne z prawem, ale jednocześnie wprowadzą adekwatne mechanizmy kontroli nad jego stosowaniem. Rząd nie może dłużej udawać, że nadzór sądowy stworzony do prowadzenia podsłuchów telefonów stacjonarnych wystarczy do kontroli nad używaniem takiego atomowego narzędzia, jakim jest Pegasus i inne oprogramowania szpiegujące.

Chciałbym też podkreślić, że ilość wykonanej przez komisję pracy jest imponująca: komisja odbyła 130 posiedzeń i przesłuchała aż 77 świadków, z tego 22 zanonimizowanych. Nie mam wątpliwości, że raport będzie kompleksowym opisem jednej z ważniejszych afer w historii RP.

Komisja twierdzi, że producent miał dostęp do elementów systemu. W komunikacie fundacji piszą państwo, że informacje "mogły" trafiać do Izraela. Jak duże jest to ryzyko i czy da się dziś ustalić, jakie dane wyciekły?

Dzięki komisji śledczej i Prokuraturze Krajowej dowiedzieliśmy się, że Pegasus nie przeszedł procedury akredytacji i że nie był to "szczelny system", w każdej chwili mógł do niego zajrzeć producent – izraelska firma NSO. Właśnie do takiej sytuacji doprowadziły polskie służby.

NSO miało dostęp do informacji przekazywanych w systemie, a ryzyko, że z niego skorzysta, zostało po prostu zignorowane. To bardzo ważny wniosek, a jednocześnie lekcja na przyszłość, np. w kontekście rosnącej współpracy z firmą Palantir, którą intensyfikuje właśnie MON. Czy ktoś z NSO zaglądał w informacje gromadzone przez polskie służby? Nie usłyszeliśmy dziś wprost odpowiedzi na to pytanie, być może to jedna z informacji objęta klauzulą tajności.

Według ustaleń sądy wydawały zgody na kontrolę operacyjną, nie wiedząc, że chodzi o Pegasusa. To wina służb, które "wyłudzały" zgody, czy także sądów, które latami zatwierdzały niemal wszystkie wnioski?

Sądy zatwierdzają ponad 99 proc. wniosków o kontrolę operacyjną, które do nich trafiają. Dzieje się tak z wielu powodów. Po pierwsze, dotąd służby nie musiały informować sądu o okolicznościach podważających konieczność rozpoczęcia kontroli operacyjnej. Jednocześnie były systemowo "nakłaniane" do klepania zgód – do niedawna musiały uzasadnić każdą odmowę, a zgody nie. W przypadku afery Pegasusa sędziowie nie mieli jak zorientować się, że dają zgodę na użycie nielegalnego oprogramowania. Nie wiedzieli też, wobec kogo będzie stosowana kontrola. Imiona i nazwiska inwigilowanych nie muszą pojawiać się we wnioskach służb.

Dwa tygodnie temu prezydent Karol Nawrocki podpisał ustawę, która wprowadza zmiany w kontroli sądów nad służbami. Sędziowie będą mogli zażądać więcej materiałów od służb przed wydaniem decyzji, a potem sprawdzić ich działania w trakcie. A w przypadku wykrycia nieprawidłowości cofnąć zgodę na kontrolę i nakazać zniszczenie materiałów.

Ale co z tego, skoro ustawa nie zmieniła podstawowej rzeczy. Według naszych wyliczeń sędziowie mają około 15-20 min na rozpatrzenie wniosku o to, czy nas podsłuchać. To zbyt mało, żeby wnikliwie przeanalizować wniosek. Służby zdają sobie z tego sprawę. Mamy podstawy, żeby podejrzewać, że w przypadku afery Pegasusa właśnie ta systemowa słabość była przez służby celowo wykorzystywana, co podkreślali dzisiaj (w poniedziałek 12 października – red.) członkowie i członkinie komisji. Prokuratura postawiła już zarzuty byłym funkcjonariuszom CBA za "wyłudzanie zgód" na podsłuchy.

Raport pojawia się w samym środku ostrego sporu politycznego: jedni mówią o rozliczeniu nadużyć, drudzy o ściganiu obecnej opozycji. Fundacja ostrzega, że obecna władza również może nadużywać oprogramowania tak samo jak poprzednia. Czy widzi pan sygnały, że od 2023 roku coś faktycznie się zmieniło w działaniu służb?

Służby w Polsce wyznają zasadę: im ciszej, tym lepiej dla ich działań. Nawet statystyki, które co roku publikują na temat liczby pobranych bilingów czy wniosków o podsłuch, niewiele mówią o zakresie ich działań. Zmiany prawne wprowadzane od 2023 roku były dotąd kosmetyczne, więc służby nie musiały zmieniać modus operandi.

Ustawa o wzmocnieniu nadzoru sądowego nad stosowaniem kontroli operacyjnej podpisana przez prezydenta we wrześniu również nie rozwiązała podstawowego problemu, o którym mówiłem wcześniej – żeby dogłębnie przyjrzeć się temu, co chce robić służba, trzeba zwyczajnie mieć czas, a sędzia podczas jednego dyżuru może rozpatrywać np. 30 wniosków. A zatem podejrzewamy, że nie będzie miał też czasu skorzystać z nowych uprawnień i sprawdzić, czy zatwierdzona przez niego kontrola przebiega prawidłowo. Podczas prac nad wspomnianą ustawą minister Tomasz Siemoniak, koordynator służb specjalnych, zapowiedział, że to nie jest ich ostatnie słowo i że przygotują kolejny projekt, który rozwiąże inne problemy w tym obszarze.

W maju przedstawiliśmy listę niezbędnych zmian w naszym raporcie "Demokracja na podsłuchu". Pierwsza warstwa proponowanych zmian dotyczy generalnych zasad stosowania kontroli operacyjnej, przede wszystkim wzmocnienia i urealnienia nadzoru sądu oraz przyznania inwigilowanym prawa do informacji, że byli przedmiotem zainteresowania służb. Druga odnosi się konkretnie do oprogramowania szpiegującego, w tym do określenia, jakie formy jego użycia powinny być zakazane. Mamy nadzieję, że minister Siemoniak zdąży skorzystać z naszych rekomendacji przed nadchodzącymi wyborami.

Jakie zmiany w prawie są absolutnie konieczne, żeby kolejny Pegasus się nie powtórzył?

Uważam, że kluczowe jest informowanie osób, że były inwigilowane. Po określonym czasie od zakończenia działań służby powinny informować Iksińskiego, że się nim interesowały. Dziś taką "informacją" jest tylko postawienie zarzutów lub akt oskarżenia. A jeśli nikt nie jest o nic oskarżony, to nigdy nie dowie się, że był inwigilowany. To się powinno zmienić. Wierzę, że przy obecnym nadzorze sądów nad działaniami służb, to niesłusznie inwigilowani byliby najlepszymi obrońcami swojej prywatności.

Służby przekonują, że bez narzędzi takich jak Pegasus nie poradzą sobie z terroryzmem czy przestępczością zorganizowaną. Czy państwo powinno w ogóle móc używać oprogramowania szpiegującego, a jeśli tak, to na jakich warunkach?

Politycy i służby przekonują, że Pegasus lub inne tego typu narzędzie jest im niezbędne do pracy, a zatem powinno być zalegalizowane. Z całą pewnością nie możemy zalegalizować możliwości manipulowania treścią zawartą w pamięci urządzenia, a takie możliwości ma Pegasus. Służby nie mogą mieć możliwości podrzucania dowodów na nasze urządzenia.

W takiej sytuacji obrona w sądzie byłaby właściwie niemożliwa. Bo jak udowodnić, że "znalezione" przez służby na naszym telefonie materiały z wykorzystaniem s*ksualnym dzieci lub plan zamachu na prezydenta znalazły się tam bez naszej wiedzy i zgody?