Dowód cyfrowy w prawie — Polska, e‑Evidence i modele porównawcze

Dowód cyfrowy nie jest odrębnym gatunkiem prawdy. Jest informacją, której znaczenie zależy równocześnie od legalności uzyskania, rozpoznawalnego pochodzenia, poprawności technicznego przetworzenia i możliwości zakwestionowania w postępowaniu. Ten sam plik może być wierną kopią danych, lecz pochodzić z niewłaściwego zakresu przeszukania; może być pozyskany na prawidłowej podstawie, lecz utracić wartość wskutek nieudokumentowanej transformacji; może też być autentyczny, ale nie dowodzić, kto wykonał zapisaną czynność.

Artykuł porównuje stan prawny na 24 sierpnia 2026 r. Nie zastępuje analizy konkretnej sprawy. Pokazuje, jak przełożyć wymagania procesowe na projekt zabezpieczenia, akwizycji, analizy i raportu. Punktem odniesienia jest polskie postępowanie karne; rozwiązania Unii Europejskiej, konwencji budapeszteńskiej, Stanów Zjednoczonych oraz Anglii i Walii służą do ujawnienia różnic, których nie wolno zacierać jednym, rzekomo uniwersalnym pojęciem „dopuszczalności dowodu cyfrowego”.

Cztery pytania, których nie wolno mieszać

Ocena materiału cyfrowego wymaga rozdzielenia co najmniej czterech pytań:

Czy organ mógł zażądać, przeszukać, zatrzymać albo utrwalić dane? To pytanie o podstawę prawną, właściwość, zakres, proporcjonalność, tajemnice chronione i środki zaskarżenia.
Czy przedstawiony produkt jest tym, za co go uznano? To problem autentyczności i pochodzenia: urządzenia, konta, systemu, eksportu, obrazu, rekordu i osoby.
Czy metoda wyprodukowała wynik wystarczająco rzetelny? Tu mieszczą się walidacja, integralność, błędy narzędzia, kompletność, reprodukowalność, niepewność i kompetencja wykonawcy.
Co z wyniku rzeczywiście wynika? Rekord może potwierdzać działanie aplikacji, nie zamiar człowieka; logowanie konta nie zawsze oznacza fizyczną obecność właściciela; czas systemowy nie musi być czasem zdarzenia.

Systemy prawne inaczej rozkładają ciężary między tymi pytaniami. W Polsce nie ma odpowiednika jednego amerykańskiego „testu autentykacji” ani brytyjskiego ustawowego kodeksu jakości obejmującego pracę cyfrową. Nie oznacza to braku wymagań. Oznacza, że są one rozproszone między regułami pozyskania, zasadą swobodnej oceny dowodów, przepisami o biegłych, dokumentacją czynności i prawem stron do kontroli materiału.

Najpierw obiekt prawny, potem narzędzie

W języku technicznym łatwo powiedzieć „zabezpieczono telefon” albo „pobrano skrzynkę”. Dla kontroli prawnej to za mało. Trzeba wskazać:

przedmiot lub system objęty czynnością;
osobę będącą dysponentem, użytkownikiem, adresatem żądania albo posiadaczem;
kategorię danych: treść komunikacji, dane o ruchu, dane abonenta, dane zapisane lokalnie, dane zdalne, kopię zapasową, metadane;
okres i zakres podmiotowy;
podstawę oraz organ wydający i wykonujący decyzję;
sposób wykonania, w tym rozszerzenie zakresu ujawnione dopiero podczas czynności;
produkt otrzymany od dostawcy lub wytworzony przez laboratorium.

To rozróżnienie jest ważne również dlatego, że telefon bywa tylko interfejsem do kilku jurysdykcji. Lokalna baza aplikacji, synchronizowana kopia, konto dostawcy i dane utrzymywane w zagranicznym centrum mogą podlegać różnym trybom. Fizyczny dostęp do urządzenia nie jest automatycznie zgodą na dowolne wejście do zdalnej usługi, a żądanie wobec dostawcy nie zastępuje akwizycji lokalnych artefaktów.

Polska: dane informatyczne w konstrukcji przeszukania i zatrzymania rzeczy

Aktualnym punktem wyjścia jest tekst jednolity Kodeksu postępowania karnego ogłoszony w Dz.U. z 2026 r. poz. 490. Przepisy rozdziału 25 KPK powstały wokół rzeczy, przeszukania i zatrzymania, lecz art. 236a nakazuje stosować je odpowiednio do dysponenta i użytkownika urządzenia zawierającego dane informatyczne lub systemu informatycznego, w zakresie danych przechowywanych w urządzeniu, systemie albo na nośniku pozostającym w ich dyspozycji lub użytkowaniu, w tym korespondencji elektronicznej.

„Odpowiednie” stosowanie nie jest mechanicznym zastąpieniem słowa „rzecz” słowem „dane”. Dane można kopiować bez pozbawienia posiadacza fizycznego nośnika; ich logiczna granica nie musi pokrywać się z obudową; mogą zostać zmienione przez sam dostęp; istnieją równocześnie w pamięci operacyjnej, lokalnej, kopii, chmurze i logach usługodawcy. Dlatego protokół powinien ujawniać nie tylko numer seryjny urządzenia, ale zakres logiczny, zastosowaną metodę, czas, wersję narzędzia, błędy i wytworzony produkt.

Art. 217 KPK tworzy podstawę żądania wydania rzeczy mogących stanowić dowód albo podlegających zajęciu dla zabezpieczenia kar majątkowych, środków karnych, przepadku, środków kompensacyjnych lub roszczeń. Art. 219 wiąże przeszukanie z uzasadnionymi podstawami do przypuszczenia, że poszukiwana osoba albo rzecz znajduje się w danym miejscu. Art. 220 reguluje zarządzenie i wykonanie przeszukania, w tym sytuację niecierpiącą zwłoki. W odniesieniu do danych te podstawy muszą być skonkretyzowane: „wszystkie dane z urządzenia” nie opisują jeszcze związku z celem postępowania.

Art. 218 KPK dotyczy obowiązku wydania sądowi lub prokuratorowi korespondencji i przesyłek oraz danych wymienionych w przepisie, pozostających w dyspozycji podmiotów prowadzących działalność pocztową, telekomunikacyjną, transportową i podobną. Art. 218a pozwala sądowi lub prokuratorowi zarządzić zabezpieczenie określonych danych informatycznych na czas oznaczony, nieprzekraczający 90 dni. Preservation ma zatrzymać zmianę lub usunięcie istniejącego materiału; nie jest samo w sobie nakazem jego wydania i nie powinno być mylone z retencją danych, których usługodawca normalnie jeszcze nie posiada.

Zakres jest częścią legalności

W sprawie cyfrowej zakres powinien być opisany co najmniej przez kombinację obiektów, osób lub kont, okresu, typów danych i celu. Dobre postanowienie albo żądanie pozwala wykonawcy rozstrzygnąć:

czy obejmuje całe urządzenie jako źródło, czy tylko wskazane zbiory;
czy zezwala na działania live, pozyskanie pamięci ulotnej i danych uwierzytelniających;
czy obejmuje dane dostępne z urządzenia, lecz przechowywane zdalnie;
czy wolno wykorzystać ujawnione konta do osobnej akwizycji;
jak postąpić z danymi osób trzecich, tajemnicami i materiałem nieobjętym celem;
czy dopuszczalny jest drugi etap selekcji z kopii zabezpieczającej.

Techniczna potrzeba wykonania pełnego obrazu może współistnieć z prawnym obowiązkiem ograniczenia przeglądu. Pełna kopia bywa konieczna, aby zachować nieprzydzielone miejsce, metadane i relacje systemu plików. Nie oznacza to, że każdy znaleziony plik powinien zostać przeanalizowany lub ujawniony. W dokumentacji należy odróżnić zakres akwizycji, zakres indeksowania, zakres przeglądu i zakres materiału włączonego do sprawy.

Protokół nie kończy łańcucha danych

Protokół czynności procesowej rejestruje jej przebieg, lecz nie zastępuje laboratoryjnego lineage. Między urządzeniem a twierdzeniem w opinii powstają kolejne obiekty: obraz, kontener dowodowy, eksport, baza parsera, tabela robocza, skrypt, raport i załącznik. Dla każdego trzeba zachować relację wejście–operacja–wyjście, identyfikator, datę, wykonawcę, wersję narzędzia i kontrolę integralności.

Suma kontrolna potwierdza zgodność określonego ciągu bajtów z wcześniejszym ciągiem bajtów. Nie dowodzi legalności pozyskania, kompletności zakresu, poprawności parsera ani autorstwa treści. Jeśli usługodawca dostarczył eksport bez opublikowanego skrótu, laboratorium powinno policzyć skrót natychmiast po kontrolowanym przyjęciu, zachować opakowanie transmisyjne i manifest oraz jasno napisać, od którego momentu integralność jest pod własną kontrolą.

Swobodna ocena nie znaczy dowolność

Art. 7 KPK nakazuje kształtować przekonanie na podstawie wszystkich przeprowadzonych dowodów, ocenianych swobodnie z uwzględnieniem zasad prawidłowego rozumowania, wiedzy i doświadczenia życiowego. W materiale cyfrowym oznacza to potrzebę ujawnienia przesłanek technicznych, a nie zastąpienie ich autorytetem narzędzia lub biegłego. Wniosek powinien być możliwy do sprawdzenia na poziomie danych źródłowych, procedury i rozumowania.

Polski proces nie przyjmuje prostej reguły, że każde uchybienie przy uzyskaniu automatycznie eliminuje dowód. Art. 168a KPK ogranicza możliwość uznania dowodu za niedopuszczalny wyłącznie z tej przyczyny, że uzyskano go z naruszeniem przepisów postępowania lub za pomocą czynu zabronionego, z wyjątkami wskazanymi w samym przepisie. Nie jest to jednak licencja na ignorowanie prawa. Naruszenie może wpływać na konstytucyjne prawa jednostki, odpowiedzialność wykonawców, możliwość wykorzystania konkretnego materiału, wiarygodność i ocenę całego procesu. Każdy taki przypadek wymaga analizy jego aktualnego brzmienia, orzecznictwa i okoliczności sprawy.

Biegły, specjalista i osoba wykonująca czynność

Nie każde pozyskanie danych jest opinią biegłego. Operator może wykonać powtarzalną akwizycję według procedury; specjalista może wspierać oględziny; biegły odpowiada na pytania wymagające wiadomości specjalnych. Granice roli muszą być jawne. Raport techniczny nie powinien ukrywać wnioskowania eksperckiego pod opisem funkcji programu, a opinia nie powinna przedstawiać automatycznego wyniku jako własnego ustalenia bez walidacji.

Kontrola jakości obejmuje kompetencję konkretnej osoby, metodę i wersję narzędzia, nie samą nazwę laboratorium. Przy zmianie wersji parsera, systemu operacyjnego albo formatu danych wcześniejsze testy mogą nie obejmować nowej konfiguracji. W sprawie należy zachować tyle danych i ustawień, aby wynik mógł zostać niezależnie odtworzony albo przynajmniej zweryfikowany inną metodą.

Unia Europejska: e‑Evidence od 18 sierpnia 2026 r.

Rozporządzenie (UE) 2023/1543 stosuje się od 18 sierpnia 2026 r. Ustanawia europejski nakaz wydania dowodów (European Production Order) i europejski nakaz zabezpieczenia dowodów (European Preservation Order) kierowane w sprawach transgranicznych do usługodawców oferujących usługi w Unii. Towarzysząca dyrektywa (UE) 2023/1544 harmonizuje wyznaczanie zakładów i przedstawicieli prawnych, którzy mają odbierać i wykonywać takie nakazy.

Mechanizm nie tworzy europejskiej reguły, że każdy przekazany plik jest prawdziwy lub wystarczający. Skraca i porządkuje drogę pozyskania danych przechowywanych przez dostawcę. Kwestie oceny dowodu, obrony, biegłego i technicznej interpretacji nadal rozstrzyga właściwe postępowanie krajowe.

Jakie dane rozróżnia rozporządzenie

Praktyczne znaczenie ma klasyfikacja danych. Rozporządzenie rozróżnia dane abonenta, dane żądane wyłącznie w celu identyfikacji użytkownika, dane o ruchu i dane treści. Kategoria wpływa na właściwość organu, warunki wydania nakazu i mechanizmy kontroli. Nie wolno klasyfikować pola wyłącznie po nazwie kolumny. Adres IP może pełnić funkcję identyfikacyjną w jednym żądaniu, a opisywać przebieg komunikacji w innym; eksport może łączyć kilka kategorii.

W formularzu i planie odbioru trzeba zatem opisać nie tylko „logi”, lecz zdarzenia, pola, okres, konto, usługę i potrzebę procesową. Nadmiernie ogólne żądanie utrudnia ocenę proporcjonalności, zwiększa ryzyko danych osób trzecich i może dać produkt, którego nie da się poprawnie zinterpretować bez schematu usługodawcy.

Wydanie i zabezpieczenie to dwie różne operacje

Nakaz zabezpieczenia ma zachować dane do czasu późniejszego uzyskania ich właściwym trybem. Powinien być wysłany wcześnie, gdy polityka retencji, rotacja logów, usunięcie konta lub wygasanie treści tworzą ryzyko utraty. Nie przesądza jednak o późniejszym wydaniu.

Nakaz wydania prowadzi do przekazania materiału. Odbiór powinien rejestrować:

certyfikat i identyfikatory formularza;
nadawcę, adresata, kanał i czasy transmisji;
nazwę produktu dostawcy, zakres i okres;
manifest, schemat, objaśnienia pól oraz deklarowane braki;
format kontenera, kompresję, szyfrowanie i hasła przekazane osobnym kanałem;
skróty dostawcy i skróty obliczone po odbiorze;
liczbę plików, rekordów, stron API i błędy;
późniejsze korekty lub uzupełnienia.

Rozporządzenie wymaga, aby dokumentom nie odmawiać skutku prawnego tylko dlatego, że mają postać elektroniczną, oraz wiąże komunikację z usługami zaufania i zdecentralizowanym systemem IT. Nie zwalnia to z kontroli, czy konkretny eksport odpowiada treści nakazu i czy transmisja dostarczyła wszystkie części.

Terminy nie zastępują planu jakości

EPOC i EPOC‑PR mają sformalizowane terminy wykonania, z odrębnym traktowaniem przypadków nagłych. Zespół powinien równolegle zarządzać trzema zegarami: terminem prawnym nakazu, technicznym okresem retencji źródła i czasem potrzebnym na bezpieczny odbiór. Preservation wysłane po rotacji logów nie odzyska przeszłości; szybka produkcja bez kontroli manifestu może z kolei utrwalić niepełny materiał.

Konflikty, immunitety i prawa podstawowe

Mechanizm przewiduje podstawy sprzeciwu, kontroli i odmowy oraz szczególne traktowanie immunitetów, przywilejów i wolności prasy. W praktyce potrzebny jest rejestr danych potencjalnie chronionych i sposób ich odseparowania. Dostawca może nie znać kontekstu pozwalającego rozpoznać tajemnicę obrończą, dziennikarską czy medyczną; organ nie powinien zakładać, że automatyczny eksport sam wykonał selekcję prawną.

Konwencja budapeszteńska i jej drugi protokół

Konwencja Rady Europy o cyberprzestępczości, ETS nr 185, obowiązuje Polskę od 1 czerwca 2015 r. Łączy harmonizację przestępstw z narzędziami procesowymi i współpracą międzynarodową. Dla dowodów elektronicznych szczególnie ważne są: szybkie zabezpieczenie przechowywanych danych, zabezpieczenie i ujawnienie danych o ruchu, nakaz wydania, przeszukanie i zajęcie danych komputerowych, gromadzenie danych o ruchu w czasie rzeczywistym, przechwytywanie treści oraz sieć kontaktowa 24/7.

Polska złożyła przy art. 29 ust. 4 zastrzeżenie dotyczące podwójnej karalności przy wykonywaniu niektórych wniosków o pomoc odnoszących się do wyszukania, zabezpieczenia lub ujawnienia przechowywanych danych. W sprawie transgranicznej status państw, zastrzeżenia i wyznaczone organy trzeba sprawdzać na datę czynności, nie z podręcznika.

Drugi protokół dodatkowy, CETS nr 224, rozwija bezpośrednią współpracę z dostawcami i podmiotami innych państw, przyspieszone formy współpracy, wspólne zespoły i gwarancje ochrony danych. Na dzień 24 sierpnia 2026 r. miał 52 sygnatariuszy i cztery ratyfikacje, a więc nie wszedł jeszcze w życie; Polska nie figurowała wśród jego sygnatariuszy. Nie wolno przedstawiać jego rozwiązań jako obowiązującej polskiej podstawy pozyskania. Może natomiast wyznaczać kierunek rozwoju i wpływać na procedury partnerów zagranicznych.

Stany Zjednoczone: osobno pozyskanie, osobno autentykacja

Model federalny USA jest użytecznym kontrastem, lecz nie powinien być przenoszony do Polski jako gotowa doktryna. Stored Communications Act, zwłaszcza 18 U.S.C. § 2703, różnicuje podstawy uzyskania treści i danych innych niż treść od dostawców komunikacji elektronicznej oraz zdalnych usług obliczeniowych. § 2703(f) przewiduje preservation na 90 dni, z możliwością jednego przedłużenia o kolejne 90 dni. CLOUD Act potwierdził możliwość objęcia nakazem danych pozostających pod pieczą, kontrolą lub w posiadaniu dostawcy niezależnie od miejsca przechowywania oraz stworzył ramy umów wykonawczych z kwalifikowanymi państwami.

To, że amerykański dostawca zachował albo wydał dane na określonej podstawie, nie przesądza ich autentyczności w sądzie. Federal Rules of Evidence rozdzielają ten etap.

FRE 901: wystarczająca podstawa identyfikacji

Rule 901 wymaga dowodu wystarczającego do poparcia ustalenia, że obiekt jest tym, za co przedstawia go strona. Przykłady obejmują zeznanie osoby posiadającej wiedzę, cechy charakterystyczne i okoliczności, porównanie przez eksperta lub sąd oraz dowód, że proces albo system daje dokładny wynik. Próg autentykacji nie jest tym samym co ostateczne rozstrzygnięcie wiarygodności. Strona przeciwna może nadal wykazywać manipulację, wspólne konto, błąd systemu albo alternatywnego autora.

Dla wiadomości z mediów społecznościowych samo nazwisko profilu jest słabym punktem. Mocniejsza kombinacja obejmuje eksport dostawcy, identyfikator konta, dane rejestracyjne i sesyjne, artefakty urządzenia, treść znaną ograniczonemu kręgowi, korelację czasową i odpowiedź odbiorcy. Każdy element ma inne źródło i ryzyko zależności.

FRE 902(13) i 902(14): certyfikacja zamiast świadka tylko w określonym zakresie

Rule 902(13) pozwala na samouwierzytelnienie certyfikowanego rekordu wytworzonego przez elektroniczny proces lub system dający dokładny wynik. Rule 902(14) dotyczy certyfikowanej kopii danych skopiowanych z urządzenia, nośnika lub pliku, jeżeli proces uwierzytelnia kopię przez wartość skrótu cyfrowego lub inną niezawodną metodę. Certyfikacja musi spełniać wymagania wskazanych reguł i podlega uprzedniemu zawiadomieniu strony przeciwnej.

Te przepisy oszczędzają konieczność wzywania świadka wyłącznie do ustanowienia podstawy autentyczności. Nie certyfikują znaczenia treści, autorstwa, kompletności poza opisanym procesem ani braku hearsay. Certyfikat „hash się zgadza” nie odpowiada na pytanie, czy urządzenie należało do oskarżonego i czy parser prawidłowo zdekodował bazę.

Best evidence i warstwy kopii cyfrowej

FRE 1001–1003 definiują zapis, oryginał i duplikat w sposób obejmujący informacje elektroniczne. Dla danych ESI „oryginałem” może być każdy wydruk lub inny czytelny wynik, jeśli dokładnie odzwierciedla informacje. Duplikat jest co do zasady dopuszczalny jak oryginał, chyba że istnieje rzeczywiste pytanie co do autentyczności albo okoliczności czynią to niesprawiedliwym.

W praktyce warto zachować zarówno surowy produkt, jak i czytelną reprezentację. Zrzut ekranu może dobrze pokazywać interfejs, ale pomijać identyfikatory i metadane; JSON może być wierniejszy maszynowo, ale niezrozumiały bez schematu; raport narzędzia może być czytelny, lecz zależeć od parsera. Nie ma jednego „najbardziej oryginalnego” widoku dla wszystkich pytań.

Anglia i Walia: proces sądowy plus ustawowa regulacja jakości

Anglia i Walia tworzą drugi użyteczny kontrast. Police and Criminal Evidence Act 1984 reguluje uprawnienia policyjne, przeszukania i zajęcia; Criminal Procedure and Investigations Act 1996 oraz Code of Practice organizują ujawnianie materiału oskarżenia, również tego, który może podważać jego tezę albo wspierać obronę. Sama zgodność techniczna kopii nie usuwa obowiązku zachowania i ujawnienia materiału istotnego, w tym ograniczeń, wyników przeczących i błędów narzędzia.

Historyczny art. 69 PACE ustanawiał szczególne warunki dla dokumentów komputerowych, lecz został uchylony. Nie należy więc powtarzać starego twierdzenia, że każdy brytyjski dowód komputerowy wymaga dowodzenia prawidłowego działania maszyny według uchylonego przepisu. Autentyczność, niezawodność i ciężar nadal mogą być kwestionowane na podstawie faktów i reguł dowodowych.

Forensic Science Regulator jako model kontroli metody

Forensic Science Regulator Act 2021 nadał regulatorowi ustawową pozycję. Obowiązujący w 2026 r. Code of Practice, version 2 obejmuje działalności kryminalistyczne w systemie wymiaru sprawiedliwości Anglii i Walii, w tym cyfrowe pozyskanie, przetwarzanie i analizę. Kodeks wiąże zakres działalności z wymaganiami jakości, kompetencji, walidacji, zarządzania niezgodnościami i deklaracji zgodności; zależnie od działalności przewiduje akredytację lub inną wskazaną drogę wykazania zgodności.

Dla informatyki śledczej istotna jest zasada walidacji całej metody w kontekście użycia. Kodeks wskazuje ryzyka takie jak zmiana materiału źródłowego, zwrot danych niepełnych lub niedokładnych oraz błędne uznanie nośnika za nieczytelny. Walidacja powinna więc testować nie tylko uruchomienie programu, ale wymaganie użytkownika, konfigurację, zakres, dane referencyjne, błędy, ograniczenia i kompetencję operatora.

Ten model nie obowiązuje polskiego laboratorium tylko dlatego, że jest dobrą praktyką. Pokazuje jednak, co może znaczyć sprawdzalna odpowiedź na pytanie „dlaczego ufać metodzie”. W polskiej opinii analogiczny materiał może mieć postać dokumentacji walidacyjnej, testu wersji, zapisów kontroli jakości, wyników narzędzia niezależnego i jawnego opisu niezgodności.

Porównanie funkcjonalne, nie transplantacja pojęć

Problem	Polska	UE e‑Evidence	USA federalne	Anglia i Walia
Pozyskanie lokalne	KPK: zatrzymanie, przeszukanie i odpowiednie stosowanie do danych	poza zasadniczym celem rozporządzenia	warrant i inne instrumenty zależne od źródła	PACE i przepisy szczególne
Dane u dostawcy	KPK i współpraca międzynarodowa	EPOC i EPOC‑PR od 18.08.2026	SCA § 2703, MLAT, wybrane umowy CLOUD Act	prawo krajowe, współpraca i instrumenty transgraniczne
Preservation	art. 218a KPK, do 90 dni	europejski nakaz zabezpieczenia	§ 2703(f): 90 + 90 dni	właściwe instrumenty krajowe i międzynarodowe
Autentyczność	ocena całokształtu; brak jednego formalnego testu dla ESI	rozporządzenie nie harmonizuje pełnej oceny dowodu	FRE 901; certyfikacja FRE 902(13)–(14)	common law i reguły procesowe; uchylony szczególny art. 69 PACE
Jakość metody	biegły, procedura, walidacja i kontrola w ramach oceny dowodu	nie jest kodeksem laboratoryjnym	zależnie od rodzaju opinii i reguł eksperckich	ustawowy FSR i Code of Practice v2
Ujawnienie obronie	KPK i dostęp do materiału sprawy	gwarancje rozporządzenia plus prawo krajowe	discovery i disclosure według właściwych reguł	CPIA i disclosure jako centralny obowiązek

Tabela nie oznacza równoważności nazw. Amerykański preservation request nie staje się polskim art. 218a, a certyfikat FRE 902(14) nie jest automatycznie polską opinią o integralności. Dokument zagraniczny trzeba interpretować w jego własnym systemie i dopiero potem wykazać, co dowodzi w postępowaniu polskim.

Transgraniczny łańcuch danych

W sprawie obejmującej dostawcę zagranicznego tradycyjny „łańcuch posiadania” jest niewystarczający. Organ nie przejmuje fizycznego serwera. Potrzebny jest łańcuch pochodzenia danych, który odpowiada na pytania:

Jaki system i tenant były źródłem?
Jak usługodawca zinterpretował zakres nakazu?
Jakie zapytanie, proces eksportu lub wewnętrzne narzędzie utworzyło produkt?
Czy eksport był snapshotem, wynikiem zapytania wykonywanego podczas zmian, czy zbiorem z kilku magazynów?
Jak obsłużono paginację, duplikaty, usunięte obiekty, wersje i spóźnione zdarzenia?
Jak materiał zaszyfrowano, przesłano, odebrano i zweryfikowano?
Jakie transformacje wykonało laboratorium?

Jeżeli dostawca nie ujawnia wewnętrznej implementacji, raport powinien nazwać tę granicę. Można potwierdzić zgodność odebranych plików ze skrótem producenta i korelować je z urządzeniem, ale nie należy twierdzić, że samodzielnie zweryfikowano kompletność zapytania wewnątrz zamkniętego systemu.

Autentyczność jest grafem, nie pieczęcią

Najbardziej odporny model traktuje autentyczność jako graf niezależnych relacji:

obiekt–źródło: identyfikator urządzenia, konta, tenantu lub systemu;
źródło–proces: sposób pozyskania i zakres;
proces–produkt: manifest, skrót, log i wersja narzędzia;
produkt–rekord: parser, schemat, zapytanie i selekcja;
rekord–zdarzenie: semantyka pola, zegar, warunki generowania;
zdarzenie–osoba: uwierzytelnienie, posiadanie urządzenia, kontekst i hipotezy alternatywne.

Silny pierwszy odcinek nie naprawia słabego ostatniego. Wierna kopia laptopa nie dowodzi, kto wpisał komendę. Z kolei niepewność co do osoby nie oznacza, że log jest fałszywy; może on rzetelnie dowodzić działania systemu, pozostawiając otwartą atrybucję.

Materiał odciążający i wyniki ujemne

Obowiązek rzetelności obejmuje dane przeczące hipotezie. W praktyce cyfrowej szczególnie łatwo je utracić przez filtrowanie, ograniczenie zakresu dat, parser pokazujący tylko rekordy aktywne albo eksport bez historii zmian. Plan powinien chronić:

komunikaty i zdarzenia niezgodne z oczekiwaną chronologią;
alternatywnych użytkowników i urządzenia powiązane z kontem;
błędy, retry, anulowania i zdarzenia generowane automatycznie;
luki retencji i okresy braku telemetrii;
wyniki drugiego narzędzia, które nie potwierdziło pierwszego;
znane błędy wersji i nieudane próby odtworzenia;
dane wskazujące, że urządzenie lub konto było niedostępne osobie przypisywanej.

Wynik ujemny ma wartość tylko przy znanej zdolności detekcji. „Nie znaleziono wiadomości” może znaczyć, że wiadomości nie było, została usunięta, nie zsynchronizowała się, leży w niepozyskanej warstwie, parser jej nie obsługuje albo zapytanie ją wykluczyło. Raport powinien wskazać, które z tych wyjaśnień badanie potrafi odróżnić.

Minimalny pakiet sprawdzalności

Dla każdego istotnego produktu warto zachować pakiet umożliwiający kontrolę bez odtwarzania całej infrastruktury:

decyzję lub żądanie wraz z zakresem i historią zmian;
protokół pozyskania i stan źródła;
surowy produkt oraz jego manifest;
skróty, podpisy lub pieczęcie wraz z informacją, kto i kiedy je zweryfikował;
wersje sprzętu, oprogramowania, parserów, pluginów i konfiguracji;
logi akwizycji, błędy i odstępstwa;
dane referencyjne i wyniki walidacji odpowiadające użytej metodzie;
reguły normalizacji czasu, kodowania, deduplikacji i konwersji;
zapytania, skrypty i parametry eksportu;
tabelę twierdzenie–artefakt–źródło–ograniczenie;
wyniki kontroli niezależnej i listę nierozwiązanych rozbieżności;
czytelny raport oraz drogę od jego tabel i ilustracji do danych źródłowych.

Pakiet powinien umożliwiać stronie przeciwnej sensowne zakwestionowanie wniosku. Udostępnienie tysięcy plików bez słownika, identyfikatorów i relacji nie jest funkcjonalnym ujawnieniem metody.

Planowanie sprawy przed pierwszym żądaniem

Przed pozyskaniem należy utworzyć macierz obejmującą pytanie dowodowe, źródło, dysponenta, jurysdykcję, kategorię danych, okres retencji, instrument prawny, ryzyko utraty, plan odbioru i późniejszą metodę walidacji. Pozwala to wykryć typowe sprzeczności: żądanie danych treści przy podstawie obejmującej tylko identyfikację, preservation skierowane do niewłaściwej spółki, zakres dat niespójny ze strefą czasową albo produkt, którego laboratorium nie potrafi odczytać.

Plan nie może zakładać, że najpierw zbierze się wszystko, a podstawę i znaczenie ustali później. W systemie rozproszonym „wszystko” nie istnieje jako jeden obiekt: dane są wersjonowane, rotowane, partycjonowane i zależne od uprawnień. Trafne pytanie prawne poprawia jakość techniczną, bo określa, co ma zostać zachowane i jak rozpoznać kompletność.

Raport łączący prawo i technikę

Raport nie powinien wydawać opinii prawnej poza kompetencją autora, ale musi dostarczyć fakty potrzebne do jej oceny. Dobra struktura obejmuje:

otrzymane pytania i granice zadania;
źródła, ich dysponentów i identyfikatory;
podstawę przekazaną wykonawcy oraz zakres techniczny wynikający ze zlecenia;
stan materiału i sposób pozyskania;
produkty pierwotne, kontrole integralności i braki;
metodę, wersje, walidację i odstępstwa;
ustalenia oddzielone od interpretacji;
hipotezy alternatywne i materiał przeczący;
niepewność, ograniczenia i warunki wyniku ujemnego;
załączniki pozwalające przejść od twierdzenia do rekordu.

Jeżeli zakres zmienił się podczas badania, raport powinien podać kto, kiedy i dlaczego go rozszerzył oraz na jakiej decyzji się oparł. Jeżeli dane przyjęto z zagranicy, trzeba nazwać instrument i nie przedstawiać technicznego certyfikatu jako rozstrzygnięcia wszystkich kwestii dopuszczalności.

Najczęstsze błędy porównawcze

„Hash czyni dowód dopuszczalnym”

Hash kontroluje zgodność bajtów. Nie ustanawia podstawy prawnej, nie identyfikuje autora, nie wykazuje kompletności eksportu i nie waliduje parsera.

„Chmura jest tam, gdzie stoi serwer”

Współczesne instrumenty często wiążą obowiązek z kontrolą dostawcy, oferowaniem usługi albo wyznaczonym przedstawicielem, nie z jednym centrum danych. Lokalizacja nadal może mieć znaczenie dla konfliktu praw, ale nie jest jedynym łącznikiem.

„Reguły USA obowiązują globalnego dostawcę w polskim sądzie”

Amerykańska podstawa wydania i certyfikat mogą wyjaśniać pochodzenie produktu. O jego użyciu w Polsce decyduje jednak polski proces wraz z właściwymi instrumentami współpracy.

„Brak ustawowego kodeksu jakości oznacza brak walidacji”

Walidacja może być konieczna do wykazania rzetelności i kontroli opinii nawet wtedy, gdy prawo nie nazywa konkretnej normy akredytacyjnej. Ciężar wyjaśnienia rośnie wraz z nieprzejrzystością i znaczeniem metody.

„Eksport dostawcy jest kompletną kopią konta”

Produkt odpowiada określonej usłudze, chwili, zakresowi, polityce retencji i implementacji eksportu. Kompletność musi być zdefiniowana względem tych granic i sprawdzona przez liczniki, paginację, schemat oraz korelację z innymi źródłami.

Wniosek: legalność i rzetelność muszą spotkać się w jednym łańcuchu

Prawo i informatyka śledcza nie są dwoma kolejnymi etapami, w których organ „załatwia podstawę”, a laboratorium później „robi technikę”. Zakres decyzji determinuje metodę pozyskania; architektura systemu wpływa na to, do kogo i o jakie dane trzeba wystąpić; sposób eksportu wyznacza granice wniosku; walidacja decyduje, czy wynik można racjonalnie ocenić.

Polski model wymaga udokumentowania tej zależności w ramach całokształtu dowodów. e‑Evidence zapewnia od 18 sierpnia 2026 r. nową drogę transgranicznego wydania i zabezpieczenia, lecz nie certyfikuje prawdy treści. Konwencja budapeszteńska organizuje szerszą współpracę, podczas gdy jej drugi protokół nie jest jeszcze obowiązującą podstawą dla Polski. Amerykańskie reguły pokazują precyzyjne oddzielenie autentykacji od ciężaru dowodu, a Anglia i Walia — jak ustawowa regulacja jakości może objąć samą metodę cyfrową.

Wspólny rdzeń jest prosty: trzeba umieć przejść od uprawnienia do źródła, od źródła do produktu, od produktu do rekordu, od rekordu do zdarzenia i dopiero od zdarzenia do osoby lub tezy procesowej. Każde przejście wymaga własnych dowodów, kontroli i jawnie opisanych ograniczeń.