Lasek - prawne aspekty nowych technologii

W zeszłym tygodniu Ministerstwo Cyfryzacji poinformowało o zawarciu porozumienia z Facebookiem. Jego celem jest wprowadzenie mechanizmu, którzy umożliwi polskim użytkownikom serwisu kwestionowanie decyzji o usunięciu treści albo profilu.

Pierwsza instancja na Facebooku, druga – punkt kontaktowy w NASK-u

Użytkownicy na całym świecie skarżą się na arbitralne i nieuzasadnione decyzje o usunięciu ich treści albo profili zamieszczanych na Facebooku.

Dotychczas Facebook umożliwiał złożenie odwołania od takiej decyzji przez wypełnienie odpowiedniego formularza na jego stronie. Skargi takie były rozpatrywane przez Facebooka, nie zawsze jednak przekładały się na zmianę pierwotnej decyzji.

Dzięki zawartemu porozumieniu po nieskutecznym odwołaniu użytkownik serwisu będzie mógł złożyć ponowne odwołanie, tym razem za pośrednictwem specjalnie utworzonej platformy na stronie Naukowej i Akademickiej Sieci Komputerowej, tzw. punktu kontaktowego.

Atak hakerski wykorzystujący lukę w niezaktualizowanym oprogramowaniu webowym amerykańskiej agencji kredytowej spowodował wyciek istotnych danych milionów klientów ze Stanów Zjednoczonych, Kanady i Wielkiej Brytanii. Amerykańskie władze federalne prowadzą dochodzenie, które może skutkować milionowymi karami. Szefowie firmy zostali wezwani na przesłuchania przed Kongresem. Agencji wytoczono największy pozew zbiorowy w historii USA. Mimo że brzmi to jak fabuła finansowego thrillera, to sprawa Equifax wydarzyła się naprawdę i może służyć jako lekcja na przyszłość.

Ataki hakerskie nie tylko zakłócają działalność gospodarczą oraz powodują straty finansowe i reputacyjne. Mogą też się skończyć surowymi karami za niedopełnienie obowiązków regulacyjnych dotyczących ochrony danych osobowych lub cyberbezpieczeństwa. Firmy, które padły ofiarą cyberprzestępstw, mogą też odpowiadać wobec klientów i pracowników za utratę lub wyciek istotnych danych. Odpowiedzialność odszkodowawcza w takich sprawach możliwa jest także na gruncie prawa polskiego i może dotyczyć każdego. Raporty na temat cyberbezpieczeństwa pokazują, że ok. ¾ firm doświadczyło jakiegoś rodzaju incydentu w zakresie cyberbezpieczeństwa. Nie wydaje się, aby te statystyki miały w najbliższym czasie spadać. Sytuacja ta została dobrze podsumowana przez byłego dyrektora Federalnego Biura Śledczego Roberta Muellera, który stwierdził: „Jestem przekonany, że istnieją tylko dwa typy firm: te, które zostały już zhakowane i te, które zhakowane dopiero zostaną. I nawet one zbiegają się w jedną kategorię: firm, które zostały już zhakowane i zostaną zhakowane ponownie”.

Nowe rozporządzenie o ochronie danych osobowych wprowadza surowe kary administracyjne za jego nieprzestrzeganie. Jak jednak wiadomo, nie surowość, lecz nieuchronność kary decyduje o jej skuteczności. Choć urząd ochrony danych osobowych został wyposażony w szerokie kompetencje, ma jednak niewystarczające środki, aby z nich korzystać. Uzupełnieniem tej luki może być wbudowany w rozporządzenie mechanizm tzw. private enforcement. Pozwala on na to, aby każda osoba której dane zostały naruszone, samodzielnie dochodziła ochrony sądowej.

Mechanizm private enforcement coraz częściej uzupełnia publicznoprawny mechanizm egzekwowania przepisów regulacyjnych. Takie rozwiązanie wprowadzono ostatnio w sprawach dotyczących odpowiedzialności odszkodowawczej za naruszenie prawa konkurencji (o czym pisaliśmy tutaj). Takie rozwiązanie przewiduje także RODO.

W październiku władze londyńskiego City ogłosiły, że zamierzają powołać nowy, specjalny sąd do spraw cyberprzestępstw. Jego powołanie ma potwierdzić, że Londyn jest najlepszym miejscem do prowadzenia interesów i rozwiązywania sporów. Dyskusja o powołaniu specjalnych sądów zajmujących się cybersprawami prowadzona jest także w innych państwach. O powołaniu takiego sądu powinniśmy pomyśleć także w Polsce.

Jako kancelaria od kilku lat obserwujemy wzrost liczby spraw procesowych dotykających w mniejszym lub większym stopniu cyberprzestrzeni. Od dwóch latach coraz częściej trafiają nam się sprawy, które wydarzyły się praktycznie w całości w przestrzeni wirtualnej – manipulowanie korespondencją mailową w celu podmiany danych przelewowych, phishing, przełamywanie zabezpieczeń cyfrowych serwerów i kradzież poufnych danych, ataki na urządzenia podłączone do internetu, malware, kradzież kryptowalut zdeponowanych na giełdach wymiany i w portfelach publicznych, oszukańcze funkcjonowanie algorytmów w różnego rodzaju serwisach internetowych.

Czy sztuczna inteligencja zastąpi prawników i sędziów, czy tylko zmieni sposób ich pracy i myślenia o prawie?

Pod koniec lat 80. pozwy i opinie prawne powstawały na maszynach do pisania. Pisma były wówczas krótsze, zaś autorzy przechodzili w nich bezpośrednio do meritum. Obecnie bywa, że metodą kopiuj/wklej powstają tasiemcowe, kilkusetstronicowe pisma, z akapitami powielanymi z innych pism. Także uzasadnienia wyroków są dłuższe, zaś prawdziwe powody sędziowskich decyzji trzeba tropić, strona po stronie, w zawiłych wywodach. Procesory tekstów ułatwiają wydłużanie pism czy opinii w nieskończoność, a to zaciemnia prawdziwe problemy. Co więcej, wydaje się, że sposób pisania wpływa również na sposób myślenia.

Sądowy nakaz blokowania dostępu do stron internetowych, z uwagi na swoją skuteczność w zwalczaniu naruszeń praw własności intelektualnej w internecie, staje się często stosowaną praktyką w wielu zagranicznych jurysdykcjach. Niedawne orzeczenie Sądu Okręgowego w Warszawie, odmawiające udzielenia zabezpieczenia w postaci zablokowania dostępu do popularnego serwisu wymiany i udostępniania plików, sugeruje, że rozwiązanie takie może być niemożliwe do zastosowania w Polsce.