Patrząc na dzisiejszy świat – ciągle i wszędzie przetwarzający dane – dochodzimy do wniosku, że tajemnica w internecie nie istnieje. Nie istnieje, bo z samej technologii internetu wynika, że informacja okrąża świat i pozostawać może na każdym urządzeniu, przez które przechodzi. A na pewno zostaje na serwerze nadawczym i odbiorczym. W szczególności chodzi tu o korespondencję elektroniczną, czyli e-maile.

Adwokat porozumiewa się ze swoim klientem telefonicznie i za pośrednictwem e-maili. Zostawiając na boku bezpieczeństwo tajemnicy adwokackiej w rozmowie telefonicznej, skupmy się na poczcie elektronicznej.

Nie każdy zdaje sobie sprawę, że korespondencja e-mail z reguły nie jest przesyłana z komputera nadawcy na komputer odbiorcy. Taki komputer jest tylko maszyną do pisania, która wysyła list na serwer, z którego korzysta nadawca (mailserver1), a z niego z kolei trafia na serwer, z którego korzysta adresat (mailserver2). Z tego urządzenia odbiorca pobiera list. Mamy już zatem cztery miejsca, w których korespondencja mogła się skopiować, czyli powstać mogły cztery takie same informacje stanowiące tajemnicę adwokacką.

Dostawca umywa ręce

To oczywiste, że adwokat obowiązany jest do ochrony tajemnicy adwokackiej. Przy obowiązujących dzisiaj regulacjach prawnych ani klient, ani nikt inny oprócz adwokata nie musi tej tajemnicy zachować. A więc to tylko adwokat obowiązany jest dołożyć wszelkich starań, by informacje wymieniane z klientem nie dostały się w niepowołane ręce. Zobowiązują do tego przepisy § 19 zbioru zasad etyki adwokackiej i godności zawodu.

Naczelna Rada Adwokacka zobowiązała adwokatów do stosowania oprogramowania i innych środków chroniących dane przed ich niepowołanym ujawnieniem. Jednocześnie ze środków komunikacji elektronicznej adwokat musi korzystać ostrożnie i uprzedzić klienta o ryzyku związanym z przesyłaniem informacji e-mailem. A zatem NRA słusznie wskazała, że posługiwanie się pocztą elektroniczną jest ryzykowne dla zachowania tajemnicy adwokackiej.

Warto przybliżyć nieco te niebezpieczeństwa. Otóż, jak wskazaliśmy na początku, informacje znajdować się mogą na komputerach korespondujących ze sobą osób i znajdują się na co najmniej dwóch mailserverach. Przyjąć można, że do komputerów mają dostęp tylko ich właściciele i urządzenia są zabezpieczone antywirusowo oraz mają hasła. Wydawać się zatem może, że informacje są bezpieczne. Przecież żaden haker nie będzie nastawał na komputery kancelarii adwokackiej i jej klienta, bo i po co komu potrzebne będą te informacje – nie ma tam haseł do rachunków bankowych, skanów dokumentów tożsamości, itp. Jednak w ostatnich miesiącach miały miejsce włamania do poczty elektronicznej kancelarii adwokackich. I tych dużych, i tych niewielkich. Hakerzy wykradli i udostępnili w sieci e-maile adwokatów z klientami, żądając przy tym okupu. Jak to się stało technicznie – do końca nie wiadomo. Z grubsza możliwości są dwie: albo włamano się do sieci informatycznej kancelarii i pobrano zawartość skrzynek pocztowych, albo do sieci będącej poza kancelarią adwokacką, w której adwokaci przechowywali informacje. (Udostępnienia haseł przez pracowników i aplikantów nie bierzemy pod uwagę, gdyż przyjmujemy, że każdy adwokat, zgodnie z kodeksem etyki i zarządzeniem o biurowości, przeszkolił te osoby z zachowania tajemnicy i podpisał z nimi odpowiednie umowy). W żadnym razie w tym miejscu nie chcemy sugerować, że sieci były słabo zabezpieczone. Po prostu w sposób przestępczy, prawdopodobnie z użyciem złośliwego oprogramowania, przejęto metody uwierzytelniania do skrzynek pocztowych – zdarza się.

W dzisiejszym świecie nie można się przed tym uchronić w stu procentach. Można jednak na pewno wskazać odpowiedzialnego za wyciek. W sytuacji pierwszej będzie to adwokat, natomiast w sytuacji drugiej... też adwokat, który zazwyczaj nie będzie mógł liczyć na współodpowiedzialność firmy udostępniającej mu miejsce na mailserverach (providera). Przed współodpowiedzialnością chronią uregulowania regulaminów dostawców poczty elektronicznej, w których zazwyczaj jest wpisane, że udostępniają oni miejsce na serwerze i nie odpowiadają za bezpieczeństwo danych. Dodajmy, że provider nie jest związany żadną ustawową tajemnicą (ani telekomunikacyjną, ani pocztową).

Drugą stroną medalu są uprawnienia policji i służb specjalnych. Już od 7 lutego 2016 r. mogą nieskrępowanie korzystać z przepisów umożliwiających im żądanie wydania korespondencji poczty elektronicznej w ramach czynności operacyjnych. Niby nic nowego – obecnie też tak jest – ale... w noweli przepisów przyjmuje się, że czynności operacyjne dotyczą każdego przestępstwa (wcześniej istniało wyliczenie ustawowe i były to najpoważniejsze przestępstwa) i został wprowadzony jasny przepis mówiący o uzyskiwaniu i utrwalaniu korespondencji e-mail.

Od strony praktycznej uzyskania korespondencji elektronicznej nic się nie zmienia. Oto bowiem do operatora przychodzi funkcjonariusz z upoważnieniem wydanym przez przełożonego i po prostu wskazuje, z jakiego adresu pocztę potrzebuje (usługodawca zobowiązany jest wręcz udostępnić funkcjonariuszom dostęp online do tych danych). Provider mu ją wydaje. I już. Oczywiście usługodawca nie może informować abonenta skrzynki e-mail o fakcie udostępnienia jego korespondencji.

Nie ma świętości

Nie można też zapominać o uregulowaniach kodeksu postępowania karnego, który w przepisach swego rozdziału 25 wprowadza możliwości żądania wydania korespondencji e-mail. Ale odbywa się to w innych reżymie – na postanowienie prokuratora (często z odroczonym terminem powiadomienia abonenta o tej czynności).

W powyższej sytuacji zagrożeniem tajemnicy adwokackiej jest pobranie poczty ze skrzynki pocztowej adwokata. Z drugiej strony ta sama korespondencja może zostać pobrana od strony klienta. W tym wypadku nie będzie złamania tajemnicy adwokackiej, jednak oczywiste jest, że służby zapoznają się z tymi informacjami. Stąd obowiązek poinformowania klienta o niebezpieczeństwach korzystania z poczty elektronicznej.

Jak zatem zachować tajemnicę tajemnicy?

Niektórzy powiedzą: korzystamy z Gmaila (albo innego dostawcy za granicą). Gmail jest w USA, raczej nie wiadomo, jak zażądać od niego informacji. Jesteśmy bezpieczni. Inni wskażą: przecież providerzy mają świetne zabezpieczenia przeciwdziałające włamaniom, jesteśmy bezpieczni. Następni dodadzą: przecież nikt nie odważy się inwigilować poczty adwokata, ponieważ może być tam tajemnica obrończa. Odpowiadamy: raz na jakiś czas z zasobów nawet największych dostawców wyciekają loginy i hasła, nie mówiąc już o danych osobowych (na marginesie – w USA dane osobowe ustawowo są chronione szczątkowo), do poczty można się włamać, nie tylko atakując sieć, ale – co jest przypadkiem najczęstszym – atakując komputer korespondującego. I odpowiadając na ostatni argument – nie istnieją w polskim prawie uregulowania chroniące pocztę elektroniczną adwokata.

Warto się więc zastanowić, czy istnieje jakieś wyjście z tego impasu.

Jedną drogą jest postulowanie, aby w kodeksie postępowania karnego uzupełnić przepisy o zakazach dowodowych poprzez zapisy zabraniające przeprowadzania dowodu z zapisów zgromadzonych m.in. w poczcie elektronicznej adwokata. Przy tym podkreślenia wymaga, że w projekcie zmiany ustawy o Policji i innych ustaw (Druk 154 Sejmu VIII kadencji) znalazły się zapisy chroniące w pewien sposób tajemnicę adwokacką i mówiące, że w zakresie czynności operacyjnych, gdy istnieje przypuszczenie, że materiały mogą zawierać tajemnice zawodowe, w tym wiadomości objęte tajemnicą adwokacką, muszą zostać one przekazane prokuratorowi, a następnie sądowi do oceny.

Radźmy sobie sami

Nie czekając na ruchy ustawodawcze, sami adwokaci powinni rozpocząć działania, aby ochronić swoją tajemnicę. Po pierwsze, w kancelarii musi zostać wdrożona restrykcyjna polityka bezpieczeństwa, a pracownicy i aplikanci powinni być przeszkoleni z tych zasad. Wszystkie komputery w kancelarii muszą być zaszyfrowane, a dostęp do nich chroniony hasłami. Muszą też być wyposażone w aktualne oprogramowanie antywirusowe. W dokumencie polityki bezpieczeństwa powinny zostać uwzględnione zasady logowania się do komputerów, opisane kwestie związane z używaniem przenośnych nośników informatycznych (np. pendrive, płyty) oraz przesyłania informacji i zasady korzystania z kancelaryjnej poczty elektronicznej. Tu postulujemy określenie zasad dostępu do kont i wprowadzenie zasady nieprowadzenia korespondencji z użyciem własnych, niekancelaryjnych adresów e-mail i – co wydaje się najważniejsze – szyfrowanie poczty. Do szyfrowania używać można podpisu elektronicznego, który możne być zakodowany w czipie legitymacji adwokackich. Tak zabezpieczonejpoczty, nawet gdy zostanie przechwycona, nie odczytają osoby niepowołane.

Adwokat będzie wiedział

W ramach zabezpieczenia poczty elektronicznej można rozważyć posiadanie przez kancelarię własnego mailservera, na którym będzie się znajdowała cała kancelaryjna poczta elektroniczna. Nie tylko skrzynki adwokatów i pracowników, ale też miejsce dla klientów. Takie rozwiązanie ma ten walor, że wszelkie e-maile dotyczące spraw objętych tajemnicą adwokacką będą zgromadzone w jednym miejscu (eliminacja zewnętrznych mailserverów adwokata i klienta, a zatem pominięcie serwerów dostawców poczty, a co za tym idzie, uniknięcie penetracji wiadomości przez służby) i adwokat będzie wiedział, kiedy i kto żąda wydania tych danych. To umożliwi realną obronę tajemnicy adwokackiej. Dodać przy tym należy, że naszym zdaniem przechowywanie poczty elektronicznej na serwerze w kancelarii odpowiada przepisom kodeksu postępowania karnego dotyczącym procedury przeszukania określonej w art. 225 § 1 i 3 k.p.k. oraz w art. 178 i 180 § 2 k.p.k., zatem funkcjonariusze nie mogą zatrzymać, a nawet obejrzeć zawartości tej poczty bez uprzedniej zgody sądu. W przypadku zaś kontroli operacyjnej (jeśli do takiej dojdzie w siedzibie kancelarii) adwokat będzie dokładnie wiedział, kto i jakie informacje przejmuje i czy ma do tego umocowanie. W konsekwencji policja lub inne służby nie będą mogły przeprowadzać czynności niejawnie, co jest istotą czynności operacyjnych. Nie trzeba w tym miejscu tłumaczyć, że takie rozwiązanie bardzo silnie chroni zarówno tajemnicę adwokacką, jak i samego klienta.

Należy też zwrócić uwagę na możliwość utrzymywania poczty adwokatów i ich klientów na wydzielonym i profesjonalnie zabezpieczonym oraz zarządzanym serwerze umiejscowionym w ORA, a jeszcze lepiej w NRA. Rozwiązanie to zdejmie z poszczególnych adwokatów koszty przygotowania i zarządzania własnymi serwerami, a kwestia ochrony tajemnicy adwokackiej i klientów adwokata będzie podobna jak przy koncepcji własnego mailservera.

Reasumując, mimo wielkich technicznych i prawnych zagrożeń dla tajemnicy adwokackiej i informacji przesyłanych pomiędzy adwokatem i jego klientem drogą elektroniczną istnieją metody wzmocnienia ochrony tej naszej tajemnicy, która – i co do tego nie ma żadnych wątpliwości – jest prawem obywatela i wobec zakusów państwa musi być chroniona przez samych adwokatów.

Adw. Adam Baworowski – administrator bezpieczeństwa informacji Okręgowej Rady Adwokackiej w Warszawie

Adw. Grzegorz Majewski – prezes Sądu Dyscyplinarnego ORA w Warszawie i kandydat na dziekana ORA w Warszawie.