Dwadzieścia pięć lat po 11 września: uprawnienia nadzwyczajne, które nigdy nie wróciły do domu

Dwadzieścia pięć lat temu tego dnia rządy zaczęły budować systemy inwigilacji, w których dziś żyjemy, i niemal każdy z nich ogłoszono jako tymczasowy. Niektóre nosiły daty wygaśnięcia wprost w tekście. Francja wpisała jedną do ustawy: 31 grudnia 2003 roku. Kongres dołączył klauzule wygaśnięcia do najbardziej spornych fragmentów ustawy PATRIOT Act. Argument jesienią 2001 roku, w Waszyngtonie, w Paryżu i w Londynie, brzmiał, że nadzwyczajna chwila wymaga nadzwyczajnych uprawnień i że ta chwila minie.

Nie minęła. Najwyraźniej widać, co 11 września zrobił z prywatnością cyfrową, nie po ponownej lekturze przemówień z 2001 roku. Widać to po lekturze liczb, które te same rządy opublikowały w tym roku.

Co naprawdę zmieniło się w tygodniach po 11 września 2001 roku?

Trzy rzeczy wydarzyły się niemal jednocześnie i tylko jedna z nich była wówczas jawna.

4 października 2001 roku prezydent Bush podpisał memorandum zatytułowane „Zezwolenie na określone działania z zakresu inwigilacji elektronicznej przez ograniczony czas w celu wykrywania i zapobiegania aktom terroryzmu na terenie Stanów Zjednoczonych”. Ten program, znany później pod kryptonimem Stellar Wind, zezwalał na zbieranie danych wewnątrz Stanów Zjednoczonych bez nakazów wymaganych przez Foreign Intelligence Surveillance Act. Był wielokrotnie przedłużany, mniej więcej co 30 do 45 dni, i nie ujawniono go opinii publicznej przez ponad cztery lata. Warto zwrócić uwagę na zwrot „przez ograniczony czas” w samym tytule dokumentu.

26 października 2001 roku USA PATRIOT Act podpisano w Ogrodzie Różanym. Izba Reprezentantów przyjęła ustawę 357 do 66, a Senat 98 do 1, przy czym senator Russ Feingold był jedynym głosem przeciw. Section 215 pozwalała FBI wymusić wydanie „dowolnej rzeczy materialnej” istotnej dla śledztwa w sprawie terroryzmu. Section 505 rozszerzyła national security letters, żądania administracyjne, które nie wymagają sędziego i którym towarzyszył zakaz ujawniania, zabraniający adresatowi powiedzieć, że takie pismo otrzymał.

A na początku 2002 roku Pentagon powołał Information Awareness Office pod kierownictwem Johna Poindextera, którego program Total Information Awareness proponował zebranie danych finansowych, podróżnych, medycznych i komunikacyjnych w jednym przeszukiwalnym systemie. Ten poszedł za daleko i zbyt jawnie. Komisja uzgodnieniowa Izby i Senatu ds. budżetu zagłosowała 24 września 2003 roku za odebraniem mu finansowania. Kilka jego składowych projektów badawczych przeniesiono w inne miejsca wspólnoty wywiadowczej i kontynuowano pod innymi nazwami, i to jest wzorzec, który warto zapamiętać: program o złej nazwie umarł, zdolność nie.

Europa poruszała się w tym samym rytmie. Francuska loi relative à la sécurité quotidienne, opublikowana w Journal Officiel 16 listopada 2001 roku, zobowiązała operatorów telekomunikacyjnych do przechowywania danych o ruchu przez okres do roku na potrzeby wykrywania i ścigania przestępstw. Jej rozdział V, zawierający ten przepis, przyjęto „pour une durée allant jusqu’au 31 décembre 2003”. Brytyjski Anti-terrorism, Crime and Security Act uzyskał sankcję królewską 14 grudnia 2001 roku, a jego część 11 tworzyła system retencji danych komunikacyjnych, początkowo dobrowolny, z uprawnieniem rezerwowym do uczynienia go obowiązkowym.

Dlaczego te „tymczasowe” uprawnienia wciąż istnieją w 2026 roku?

Ponieważ tymczasowe uprawnienie buduje wokół siebie instytucję, a instytucja przeżywa termin.

Francja pokazuje to najwyraźniej, bo datę wygaśnięcia wpisano do ustawy i możemy dokładnie prześledzić, co się z nią stało. Termin z 2003 roku nie został uchylony jednym pociągnięciem. Przedłużono go do końca 2005 roku, potem przeniesiono dalej ustawą antyterrorystyczną z 2006 roku, a w 2008 roku przedłużono jeszcze raz, do 2012 roku, kiedy nikt już nie udawał, że to rozwiązanie jest tymczasowe. Trzy kolejne przedłużenia, każde rutynowe, a roczny obowiązek retencji zadomowił się we francuskim prawie jako element stały. Kiedy Trybunał Sprawiedliwości Unii Europejskiej jasno stwierdził, że ogólna i niezróżnicowana retencja jest niezgodna z prawem Unii, Conseil d’État orzekła 21 kwietnia 2021 roku, że „la conservation généralisée aujourd’hui imposée aux opérateurs par le droit français est bien justifiée par une menace pour la sécurité nationale”. Warto wyłożyć to rozumowanie wprost: ogólna retencja jest legalna, ponieważ istnieje zagrożenie dla bezpieczeństwa narodowego, a rząd musi okresowo badać na nowo, czy zagrożenie nadal istnieje. Stały stan wyjątkowy, poddany przeglądowi.

Na poziomie unijnym historia biegnie tak samo, tylko z większym dramatem sądowym. Dyrektywę o retencji danych przyjęto 15 marca 2006 roku, w następstwie zamachów w Madrycie i Londynie, zobowiązując państwa członkowskie do nałożenia obowiązku przechowywania metadanych komunikacyjnych. Trybunał Sprawiedliwości unieważnił ją 8 kwietnia 2014 roku w sprawie Digital Rights Ireland, uznając, że pociągała za sobą rozległą i szczególnie poważną ingerencję w prawa podstawowe, nieograniczoną do tego, co ściśle konieczne. Dwanaście lat później Komisja pisze nową. Jej strategia ProtectEU z kwietnia 2025 roku uruchomiła ocenę skutków dotyczącą przechowywania danych przez dostawców usług na potrzeby postępowań karnych, a projekt legislacyjny jest spodziewany w 2026 roku i obejmie metadane takie jak adresy IP i dane abonenckie u szerszego kręgu dostawców niż dyrektywa, którą Trybunał uchylił.

Amerykańska wersja trwałości jest jeszcze dziwniejsza i wydarzyła się trzy miesiące temu.

Section 702 wygasła w czerwcu 2026 roku. Dlaczego wciąż działa?

Section 702 ustawy FISA to podstawa prawna najważniejsza dla każdego, kto korzysta z amerykańskiej usługi internetowej. Pozwala na zbieranie danych bez nakazu, wymierzone w osoby niebędące obywatelami USA, co do których istnieje uzasadnione przypuszczenie, że przebywają poza Stanami Zjednoczonymi, od dostawców działających w Stanach Zjednoczonych. Komunikacja z tymi celami też jest zbierana. Tak właśnie konta osób, które nigdy nie były celem, trafiają do bazy, którą można później przeszukać.

Kongres nie zdołał uzgodnić, czy FBI powinno potrzebować nakazu, zanim przeszuka tę bazę pod kątem komunikacji obywatela USA. Termin nadszedł i nic nie przeszło. Section 702 wygasła o północy w piątek 12 czerwca 2026 roku, po serii krótkich przedłużeń, w tym dziesięciodniowym prowizorium w kwietniu.

Zbieranie danych nie ustało. Zgodnie z przepisami przejściowymi FISA Amendments Act pozyskiwanie danych dozwolone przez certyfikacje i dyrektywy już obowiązujące trwa aż do wygaśnięcia tych certyfikacji. Sąd FISA zatwierdził obecne certyfikacje w marcu 2026 roku. Praktyczny skutek jest taki, że ustawa, która wygasła w czerwcu 2026 roku, zezwala na inwigilację do marca 2027 roku, a wiążący termin dla Kongresu wyznacza teraz kalendarz certyfikacji sądu, a nie data wygaśnięcia, którą Kongres sam sobie zapisał.

Ze wszystkiego, co przyniosło dwadzieścia pięć lat prawa o inwigilacji, to jest fakt, który położyłbym przed każdym, kto wciąż wierzy, że układ z 2001 roku miał wbudowane wyjście. Klauzula wygaśnięcia była zabezpieczeniem. Była obietnicą, że uprawnienia nadzwyczajne zostaną poddane przeglądowi i będą mogły naprawdę się skończyć. W czerwcu 2026 roku ten mechanizm przetestowano na serio. Wygasł, a inwigilacja trwała dalej.

Czy inwigilacja jest dziś naprawdę większa niż w 2001 roku?

Tak, a źródłem są własne coroczne rozliczenia wspólnoty wywiadowczej. ODNI opublikowało trzynasty Annual Statistical Transparency Report w kwietniu 2026 roku, obejmujący rok kalendarzowy 2025.

Dane o zapytaniach FBI są raportowane za okresy od grudnia do listopada, a nie za lata kalendarzowe.

Liczba celów to nagłówek. Rosła w każdym roku ujętym w tym zestawieniu, a wynik 349 823 za 2025 rok jest największym kiedykolwiek opublikowanym, wzrost o około 20 % w ciągu jednego roku. ODNI przypisuje zmiany z roku na rok między innymi priorytetom zbierania danych, wydarzeniom na świecie, możliwościom technicznym i zachowaniu celów.

Liczby zapytań FBI opowiadają ciekawszą historię, niż sugeruje sam spadek. Załamanie ze 119 383 do 5 518 nastąpiło po reformach z 2024 roku w ustawie Reforming Intelligence and Securing America Act, a ODNI przypisuje je kontrolom technicznym i ostrożności poszczególnych osób. Ale wynik za 2025 rok odbił w górę do 7 413. Co istotniejsze, National Security Division Departamentu Sprawiedliwości ustaliła w sierpniu 2024 roku, że FBI używało zaawansowanej funkcji filtrowania do przeszukiwania komunikacji osób z USA, której nie traktowało jako zapytania i której wobec tego nie liczyło. Inspektor generalny Departamentu udokumentował ten epizod w 2025 roku, a funkcji nie wyłączono aż do początku tego roku. Statystyka zależna od tego, jak agencja definiuje słowo „zapytanie”, jest liczbą słabszą, niż wygląda.

National security letters to cichy olbrzym. W 2025 roku FBI wystawiło ich 8 865, zawierających 29 203 odrębne żądania informacji. To nie są nakazy sądowe. Żaden sędzia nie bada ich przed wystawieniem.

A co z inwigilacją, której nikt nie uchwalił?

Najistotniejszą zmianą od 2001 roku nie jest żadna pojedyncza ustawa. Jest nią to, że ilość danych o zwykłym życiu rosła szybciej niż jakiekolwiek prawo regulujące dostęp do nich.

W 2001 roku śledzenie czyichś ruchów wymagało chodzenia za tą osobą. Dziś historia lokalizacji istnieje domyślnie, generowana przez telefon, przechowywana przez firmę. W czerwcu 2023 roku, w odpowiedzi na wniosek o dostęp do informacji publicznej, ODNI odtajniło raport ze stycznia 2022 roku o informacjach dostępnych komercyjnie, który przyznawał, że wspólnota wywiadowcza kupuje dane o Amerykanach od komercyjnych brokerów, i ostrzegał, że takie informacje „mogłyby ułatwić szantaż, nękanie, prześladowanie i publiczne zawstydzanie”. Nakaz nie jest do tego potrzebny. Dane się kupuje.

Granica to drugie miejsce, w którym architektura prawna z 2001 roku spotkała smartfon z 2026 roku. Amerykańska służba celno-graniczna raportuje 55 318 przeszukań urządzeń elektronicznych w roku budżetowym 2025, o 17,6 % więcej niż 47 047 rok wcześniej. 50 922 to przeszukania podstawowe, które nie wymagają żadnego podejrzenia. 13 590 dotyczyło obywateli USA. Wyjątek granicznego przeszukania jest znacznie starszy niż rok 2001, ale napisano go dla walizek, a telefon nie jest walizką.

Lotniska pokazują, jak gruntownie postawa z 2001 roku stała się normą. Technologia porównywania twarzy TSA działa dziś na około 350 lotniskach w całym kraju, a agencja stwierdza, że podróżni „mogą odmówić opcjonalnego zdjęcia, bez żadnych konsekwencji”. Większość ludzi o tym nie wie, bo system przedstawiony jako rutyna rzadko bywa kwestionowany.

Czy cokolwiek z tego zmieniło zachowanie ludzi?

To ta część, którą zwykle się głosi, a rzadko mierzy. W 2016 roku Jonathon Penney opublikował w Berkeley Technology Law Journal badanie analizujące ruch na Wikipedii przed ujawnieniami o programach inwigilacyjnych NSA z czerwca 2013 roku i po nich. Ustalił, że średnie miesięczne odsłony czterdziestu ośmiu śledzonych przez niego artykułów związanych z terroryzmem spadły o około 19,5 % po czerwcu 2013 roku, a model regresji określił natychmiastowy spadek na ponad 30 % wszystkich odsłon.

Nikogo nie aresztowano za przeczytanie artykułu na Wikipedii. I właśnie o to chodzi. System inwigilacji nie musi być użyty przeciwko Tobie, żeby zmienić to, czego jesteś gotów poszukać. Wystarczy wiedzieć, że istnieje, a koszt spada na ludzi, którzy nie zrobili nic złego.

To tłumaczy też, dlaczego o ten układ tak trudno spierać się uczciwie. Korzyści z inwigilacji są konkretne i łatwe do ogłoszenia. Koszty rozkładają się cienką warstwą na miliony ludzi, którzy nigdy nie dowiedzą się, którego wyszukiwania postanowili nie wykonać. Sądy, które w końcu przyjrzały się programowi zbudowanemu na Section 215, nie były pod wrażeniem korzyści. Second Circuit orzekł 7 maja 2015 roku w sprawie ACLU v. Clapper, że ustawa nigdy w ogóle nie zezwalała na masowe zbieranie bilingów. Ninth Circuit poszedł dalej 2 września 2020 roku w sprawie United States v. Moalin, uznając, że masowe zbieranie naruszało FISA i mogło być niezgodne z konstytucją. Sama Section 215 wygasła 15 marca 2020 roku. Program, który nią uzasadniano, działał czternaście lat, zanim sąd apelacyjny dotarł do pytania, czy prawo na to pozwalało.

Co to wszystko oznacza dla osoby, która to czyta?

Dwadzieścia pięć lat daje jasny obraz tego, co indywidualne działanie może, a czego nie może zdziałać.

Nie może cofnąć architektury prawnej. Żaden produkt konsumencki nie zmienia tego, co wymusza national security letter, co może sprawdzić funkcjonariusz graniczny ani na co zezwala certyfikacja sądu FISA. Kto reklamuje narzędzie jako ochronę przed państwem, opisuje produkt, który nie istnieje.

To, do czego indywidualne wybory faktycznie sięgają, to codzienna komercyjna warstwa zbierania danych, która wyrosła obok tej prawnej. Ta warstwa dotyka niemal każdego i jest regulowana bardzo słabo. Ruch w sieci, której nie kontrolujesz, jest widoczny dla tego, kto nią zarządza, a obowiązki retencyjne takie jak francuski roczny wymóg spadają na dostawców internetu. Szyfrowanie połączenia między Twoim urządzeniem a serwerem VPN oznacza, że operator sieci widzi tunel zamiast listy miejsc docelowych. Ta korzyść jest realna i jest też ograniczona, a obie połowy tego zdania mają znaczenie. Le VPN powstał w Paryżu w listopadzie 2010 roku, przechowuje logi połączeń, nie logi aktywności, obsługuje do 10 jednoczesnych połączeń i oferuje 30-dniową gwarancję zwrotu pieniędzy przy pierwszym zakupie.

Druga lekcja dotyczy terminów i nie jest zachęcająca. Francuska data wygaśnięcia minęła w 2003 roku, a uprawnienie zostało. Section 215 obowiązywała do 2020 roku, a program, który uzasadniała, działał już wtedy od czternastu lat. Section 702 wygasła trzy miesiące temu, a zbieranie danych trwa na podstawie certyfikacji sądowej do 2027 roku.

Dwie decyzje ukształtują najbliższy odcinek. Kongres musi wrócić do Section 702, zanim te certyfikacje wygasną w marcu 2027 roku, a Komisja Europejska ma położyć na stole swoją propozycję retencji danych. Obu warto się uważnie przyglądać, bo to one rozstrzygną, czy o stanie wyjątkowym, który zaczął się we wtorek rano we wrześniu 2001 roku, wreszcie będzie spór co do istoty, czy też odnowi się on po prostu jeszcze raz, kiedy nikt nie patrzy.

Szerszy obraz rozwoju tych narzędzi znajdziesz w naszym przewodniku po prywatności online, w tekście o tym, jak działa silne szyfrowanie, oraz na stronie o serwerach VPN w Stanach Zjednoczonych. Nasz blog śledzi nowe przepisy o inwigilacji na bieżąco.