W jednej sprawie internetowej słowo „platforma” może oznaczać właściciela aplikacji, dostawcę chmury, hosting strony, sieć dostarczania treści, operatora DNS, rejestratora domeny, operatora dostępu, wyszukiwarkę albo rynek łączący sprzedawcę z kupującym. Każdy z tych podmiotów ma inne możliwości techniczne, inne dane i inny wpływ na cudzą informację. Przypisanie odpowiedzialności lub skierowanie żądania dowodowego do niewłaściwej warstwy prowadzi do utraty czasu, danych i proporcjonalności.

Akt o usługach cyfrowych, czyli rozporządzenie (UE) 2022/2065 (DSA), nie ustanawia zasady, że „Internet odpowiada za wszystko”, ani immunitetu, według którego pośrednik nigdy nie odpowiada. Tworzy warunkowe wyłączenia odpowiedzialności za informacje odbiorców dla trzech funkcji — zwykłego przekazu, cachingu i hostingu — oraz nakłada stopniowane obowiązki należytej staranności. Wyłączenie odpowiedzialności, obowiązek reagowania na nakaz, procedura zgłoszenia treści, odpowiedzialność za własne działanie i obowiązek wydania dowodu to pięć różnych zagadnień.

Artykuł przedstawia mapę potrzebną w śledztwie, postępowaniu karnym, obsłudze incydentu i ocenie materiału od usługodawcy. Stan prawa oraz procesu legislacyjnego sprawdzono 23 sierpnia 2026 r. Tekst nie przesądza odpowiedzialności konkretnego przedsiębiorcy; ta zależy od faktycznej funkcji, wiedzy, kontroli, zachowania, podstawy roszczenia, jurysdykcji i czasu.

Najpierw funkcja, potem nazwa handlowa

Jedna firma może wykonywać równolegle wiele funkcji. Dostawca chmurowy może jednocześnie sprzedawać infrastrukturę, przechowywać pliki, dystrybuować je przez CDN, rozwiązywać nazwy, filtrować ataki i prowadzić platformę aplikacyjną. Ten sam produkt może dla jednego strumienia działać jako hosting, dla innego jako caching, a w zakresie własnych komunikatów jako dostawca treści. Kwalifikacji nie dokonuje się na poziomie logo.

Praktyczna analiza zaczyna się od sześciu pytań:

  1. Kto stworzył albo wybrał informację?
  2. Kto zainicjował jej przekazanie?
  3. Kto wskazał odbiorcę lub publiczność?
  4. Kto przechowywał informację i na czyje żądanie?
  5. Kto mógł ją zmienić, usunąć, ograniczyć albo przywrócić?
  6. Jakie dane techniczne i kontowe każdy podmiot rzeczywiście kontrolował w danym czasie?

Odpowiedzi tworzą mapę ról, ale nie są jeszcze oceną winy. Aktywne rekomendowanie treści nie oznacza automatycznie autorstwa każdego wpisu. Automatyczny cache nie staje się hostingiem tylko dlatego, że fizycznie ma kopię. Hosting nie jest autorem informacji odbiorcy, lecz odpowiada za własny regulamin, reklamy, decyzje moderacyjne, bezpieczeństwo i wykonanie obowiązków.

Dziewięć ról w łańcuchu usługi

Twórca lub dostawca własnej treści

Podmiot publikuje własny tekst, ofertę, reklamę, kod albo komunikat. Wyłączenia dotyczące informacji przekazanej przez odbiorcę nie chronią go w tej samej mierze przed odpowiedzialnością za własny materiał. Trzeba jednak uważać na zespoły redakcyjne, franczyzę, konta pracownicze i treści sponsorowane: ustalenie, czy informacja jest „własna”, może wymagać umów, przepływu akceptacji i danych konta.

Zwykły przekaz — mere conduit

Artykuł 4 DSA dotyczy usługi polegającej na transmisji informacji dostarczonej przez odbiorcę lub zapewnieniu dostępu do sieci. Warunki wyłączenia wymagają, by usługodawca nie inicjował transmisji, nie wybierał odbiorcy i nie wybierał ani nie modyfikował przekazywanej informacji. Automatyczne, pośrednie i przejściowe przechowywanie nie zmienia funkcji, jeżeli służy tylko transmisji i nie trwa dłużej, niż jest do niej rozsądnie potrzebne.

Motyw 29 DSA jako przykłady funkcji tej klasy wymienia między innymi punkty wymiany ruchu, bezprzewodowe punkty dostępu, VPN, usługi i resolvery DNS, rejestry domen najwyższego poziomu, rejestratorów, urzędy certyfikacji, VoIP i inne usługi komunikacji interpersonalnej. To przykłady ogólne, nie automatyczna kwalifikacja każdej implementacji. Jeżeli konkretny podmiot wykracza poza neutralny przekaz, analizuje się tę dodatkową funkcję osobno.

Caching

Artykuł 5 odnosi się do automatycznego, pośredniego i czasowego przechowywania informacji wyłącznie w celu usprawnienia lub zabezpieczenia dalszej transmisji do innych odbiorców na ich żądanie. Wyłączenie zależy między innymi od braku modyfikacji, respektowania warunków dostępu i uznanych zasad aktualizacji, niezakłócania legalnej technologii pomiaru użycia oraz szybkiej reakcji po uzyskaniu wiedzy, że informację usunięto u źródła, zablokowano albo właściwy organ nakazał usunięcie lub blokadę.

Typowym przykładem funkcjonalnym jest CDN lub reverse proxy, lecz rzeczywista usługa może dodawać reguły bezpieczeństwa, optymalizację obrazów, skrypty, przechowywanie obiektów i panel publikacji. Nie każda kopia w CDN jest samodzielnym źródłem historycznym; może wygasnąć, zostać odświeżona lub różnić się regionalnie.

Hosting

Hosting w art. 6 polega na przechowywaniu informacji dostarczonej przez odbiorcę na jego żądanie. Wyłączenie odpowiedzialności za tę informację wymaga braku faktycznej wiedzy o nielegalnej działalności lub treści, a w odniesieniu do odszkodowania również braku świadomości faktów lub okoliczności, z których nielegalność jest oczywista. Po uzyskaniu takiej wiedzy lub świadomości dostawca musi działać szybko, aby usunąć informację albo uniemożliwić dostęp.

Wyłączenie nie działa, gdy odbiorca działa pod zwierzchnictwem lub kontrolą usługodawcy. Dla platform umożliwiających konsumentom umowy na odległość jest też szczególna reguła: wyłączenie hostingu nie ma zastosowania do odpowiedzialności z prawa ochrony konsumentów, jeżeli sposób prezentacji prowadzi przeciętnego konsumenta do przekonania, że informacja, produkt lub usługa pochodzi od platformy albo przedsiębiorcy pod jej kontrolą.

Chmura obliczeniowa, klasyczny hosting WWW, przechowywanie plików, repozytorium kodu, poczta i usługa publikacji mogą mieścić elementy hostingu. Nie oznacza to, że dostawca posiada wszystkie dane w postaci czytelnej. Szyfrowanie po stronie klienta, klucze klienta, rozproszenie regionów, polityka logów i architektura konta wpływają na możliwości techniczne, lecz nie redefiniują automatycznie całej relacji prawnej.

Platforma internetowa

DSA określa platformę internetową jako usługę hostingu, która na żądanie odbiorcy przechowuje i publicznie rozpowszechnia informacje, chyba że rozpowszechnianie jest jedynie mało istotną i czysto poboczną funkcją innej usługi. Serwis społecznościowy, publiczny marketplace, platforma wideo lub publiczne forum może spełniać tę definicję. Prywatny magazyn plików bez publicznego rozpowszechniania może być hostingiem, ale nie platformą.

Platformy mają obowiązki dodatkowe, między innymi wewnętrzny system skarg, zasady dotyczące nadużywania usług, określone obowiązki reklamowe i przejrzystość systemów rekomendacji. Mikro- i mali przedsiębiorcy korzystają z części wyłączeń obowiązków, o ile nie są bardzo dużymi platformami. Dlatego tabela „wszystkie platformy muszą” bez sprawdzenia wielkości i typu usługi bywa błędna.

Rynek internetowy

Platforma pozwalająca konsumentom zawierać umowy na odległość z przedsiębiorcami podlega szczególnym obowiązkom identyfikowalności sprzedawców. Artykuł 30 wymaga przed dopuszczeniem sprzedawcy uzyskania m.in. danych kontaktowych, dokumentu albo identyfikacji elektronicznej, danych rachunku płatniczego, danych rejestru oraz oświadczenia o zgodności oferowanych produktów lub usług. Platforma ma dołożyć najlepszych starań, aby ocenić wiarygodność i kompletność określonych danych.

Nie jest to gwarancja, że każdy sprzedawca został materialnie zidentyfikowany ponad wszelką wątpliwość. Dokument może być cudzy, rachunek pośredni, a konto przejęte. Dla śledztwa dane KYBC są punktem korelacji z bankiem, rejestrem, urządzeniem, wypłatą i logistyką. Artykuł 30 przewiduje bezpieczne przechowanie pozyskanych informacji przez sześć miesięcy po zakończeniu relacji ze sprzedawcą, a następnie ich usunięcie, z zastrzeżeniem właściwych podstaw prawnych.

Wyszukiwarka

Wyszukiwarka indeksuje i prezentuje odsyłacze lub informacje w odpowiedzi na zapytanie. Może jednocześnie prowadzić cache, reklamy, mapy, profile przedsiębiorstw i własny hosting. Usunięcie wyniku wyszukiwania nie usuwa treści u źródła; usunięcie źródła nie zawsze natychmiast usuwa kopię indeksu. W postępowaniu trzeba wskazać, czy spór dotyczy publikacji, indeksacji, autouzupełniania, reklamy czy danych zapytania.

Dostawcy infrastruktury nazw i zaufania

Rejestr domeny, rejestrator, reseller, operator DNS i urząd certyfikacji pełnią różne role. Rejestr zna delegację i dane rejestracyjne dostępne w jego modelu, rejestrator obsługuje klienta domeny, DNS mapuje nazwę na rekordy, a urząd certyfikacji wydaje certyfikat po określonej walidacji. Certyfikat potwierdza właściwości wskazane w profilu i procesie wydania; nie potwierdza legalności treści strony ani tożsamości każdego jej autora.

Zawieszenie domeny, usunięcie rekordu, unieważnienie certyfikatu i wyłączenie hostingu to różne środki o różnych skutkach. Żądanie „usunąć stronę z Internetu” musi być przełożone na konkretną informację, usługę, podstawę i proporcjonalny zakres.

Usługi pomocnicze poza prostą mapą

Operator płatności, dostawca reklam, analityka, sklep z aplikacjami, firma kurierska i dostawca tożsamości mogą mieć kluczowe dane, ale nie każda ich czynność jest usługą pośrednią w rozumieniu DSA. Nie wolno rozciągać reguł mere conduit, caching i hosting na każdy podmiot występujący „w Internecie”. Kwalifikacja sektorowa może uruchomić PSD2, prawo bankowe, AML, ochronę konsumenta, prawo komunikacji elektronicznej lub inne przepisy.

Macierz odpowiedzialności i danych

Funkcja Główna czynność Typowy wpływ na informację odbiorcy Potencjalne dane w kontroli Czego zwykle nie wolno zakładać
Dostęp / mere conduit Transmisja lub dostęp do sieci Przejściowy, techniczny Dane abonenta, przydziały, sesje według prawa i retencji Że zna semantyczną treść każdej zaszyfrowanej sesji
DNS / rejestrator Rozwiązanie lub delegacja nazwy Na trasę nazwy, nie na plik źródłowy Rejestracja, zmiany, delegacja, logi zależne od usługi Że kontroluje hosting lub autora strony
CDN / cache Tymczasowa kopia i dostarczenie Kopia, zasięg, dostępność Żądania, węzły, cache key, reguły i logi zależne od planu Że kopia jest kompletna i historyczna
Hosting / chmura Przechowywanie na żądanie klienta Może usunąć lub ograniczyć obiekt w swoim zakresie Konto, obiekty, wersje, logi, płatność, zgłoszenia Że widzi plaintext przy szyfrowaniu klienta
Platforma Hosting i publiczne rozpowszechnianie Moderacja, ranking, konto, monetyzacja ID treści, decyzje, skargi, konto, urządzenie według retencji Że rekomendacja czyni ją autorem każdego wpisu
Marketplace Platforma i zawarcie umowy Oferta, sprzedawca, płatność, widoczność Dane przedsiębiorcy z art. 30, zamówienie, wypłata, komunikacja Że weryfikacja platformy dowodzi faktycznego operatora konta
Wyszukiwarka Indeks i odpowiedź na zapytanie Widoczność wyniku Indeks, cache, żądania usunięcia, czasem dane konta i zapytań Że deindeksacja usuwa źródło
Autor treści Tworzenie i publikacja własnego materiału Bezpośredni System redakcyjny, konto, wersje, zatwierdzenia Że osoba wskazana w profilu faktycznie opublikowała wpis

Safe harbour nie jest immunitetem

Artykuły 4–6 DSA określają, kiedy dostawca nie odpowiada za informację transmitowaną, cache'owaną lub przechowywaną na żądanie odbiorcy. Nie rozstrzygają, czy sama informacja jest legalna. Nie wyłączają odpowiedzialności odbiorcy, który ją dostarczył. Nie chronią dostawcy przed odpowiedzialnością za jego własny produkt, reklamę, dyskryminującą praktykę, naruszenie bezpieczeństwa, niedopełnienie obowiązku DSA albo niewykonanie ważnego nakazu.

Wyłączenie odpowiedzialności nie blokuje też możliwości, aby właściwy sąd lub organ nakazał zakończenie albo zapobieżenie naruszeniu zgodnie z prawem. Można więc jednocześnie uznać, że pośrednik nie ponosi odszkodowawczej odpowiedzialności za cudzą treść za wcześniejszy okres, i wymagać od niego wykonania konkretnego nakazu na przyszłość. Te zdania nie są sprzeczne.

W analizie karnej trzeba oddzielić odpowiedzialność osoby fizycznej od odpowiedzialności organizacji i od obowiązku procesowego wydania danych. Sam fakt, że system przechował przestępny komunikat, nie dowodzi zamiaru pracownika ani zarządu. Z kolei powtarzalne, udokumentowane decyzje, własne zaangażowanie, sposób monetyzacji i wiedza o konkretnym czynie mogą mieć znaczenie według właściwych znamion — ale nie wolno zastępować ich ogólną tezą o „złym Internecie”.

Wiedza hostingu i należyte zgłoszenie

Artykuł 16 DSA wymaga od dostawców hostingu łatwo dostępnego elektronicznego mechanizmu zgłaszania konkretnych informacji uważanych przez zgłaszającego za nielegalne. Zgłoszenie powinno zawierać uzasadnienie nielegalności, dokładną lokalizację elektroniczną, dane zgłaszającego z określonym wyjątkiem oraz oświadczenie o dobrej wierze i kompletności.

Precyzyjne i odpowiednio uzasadnione zgłoszenie może prowadzić do uzyskania przez dostawcę faktycznej wiedzy lub świadomości w odniesieniu do wskazanej informacji, jeżeli staranny dostawca może ustalić nielegalność bez szczegółowej analizy prawnej. Nie każde roszczenie mailowe tworzy wiedzę. Zdanie „ta strona mnie obraża” bez URL, cytatu, kontekstu i podstawy może nie identyfikować przedmiotu. Z kolei kompletne zgłoszenie konkretnego pliku nie ustanawia automatycznie wiedzy o każdym podobnym pliku w usłudze.

Dostawca ma potwierdzić otrzymanie zgłoszenia i poinformować o decyzji, jeśli zna elektroniczne dane kontaktowe zgłaszającego. Powinien działać terminowo, starannie, obiektywnie i bez arbitralności. DSA nie ustanawia jednego terminu godzinowego dla każdej kategorii zgłoszenia; pilność zależy od ryzyka, oczywistości i przepisów szczególnych.

Nielegalne, szkodliwe i sprzeczne z regulaminem

„Nielegalna treść” w DSA odwołuje się do niezgodności informacji lub działalności z prawem Unii albo prawem państwa członkowskiego zgodnym z prawem Unii. Treść może być szkodliwa, fałszywa albo odpychająca, lecz legalna. Może też być legalna, ale zakazana regulaminem prywatnej usługi. Platforma powinna w uzasadnieniu decyzji rozróżnić podstawę prawną od kontraktowej.

To rozróżnienie ma znaczenie dowodowe. Statystyka „usunięto dezinformację” może łączyć treści bezprawne, naruszenia regulaminu i dobrowolne działania ograniczające zasięg. Nie wolno z samej decyzji moderacyjnej wyprowadzać wniosku, że użytkownik popełnił przestępstwo. Platforma stosuje własny standard dowodowy i cel bezpieczeństwa usługi; sąd ocenia znamiona i dowody według prawa.

Zakaz ogólnego monitorowania i dobrowolne działania

Artykuł 8 DSA zakazuje nakładania na dostawców usług pośrednich ogólnego obowiązku monitorowania wszystkich przekazywanych lub przechowywanych informacji albo aktywnego poszukiwania faktów wskazujących nielegalność. Zakaz nie wyklucza nakazów dotyczących konkretnych treści, odbiorców i naruszeń ani obowiązków szczególnych zgodnych z prawem Unii.

Artykuł 7 chroni zasadę dobrego Samarytanina: dostawca nie traci samych wyłączeń z art. 4–6 tylko dlatego, że w dobrej wierze i starannie dobrowolnie wykrywa, identyfikuje, usuwa lub blokuje nielegalne treści albo wykonuje prawo. Nie oznacza to zwolnienia z odpowiedzialności za sposób prowadzenia moderacji, naruszenie praw użytkownika czy własne bezprawne działanie. Oznacza, że sama staranna inicjatywa nie zmienia automatycznie neutralnego pośrednika w autora wszystkiego, co kontroluje.

W śledztwie automatyczny system wykrywania jest źródłem alarmu, nie bezbłędnym świadkiem. Należy zachować wersję modelu lub reguły, wejście, wynik, próg, czas, decyzję człowieka, odwołanie i wynik ponownej oceny. Model może zmienić klasyfikację po aktualizacji, a dane szkoleniowe mogą nie odpowiadać językowi i kontekstowi sprawy.

Nakaz dotyczący treści a nakaz dotyczący informacji

DSA rozdziela dwa typy nakazów. Artykuł 9 dotyczy działania wobec jednego lub większej liczby konkretnych elementów nielegalnej treści. Artykuł 10 dotyczy przekazania konkretnych informacji o jednym albo kilku konkretnych odbiorcach usługi. Oba nakazy muszą pochodzić od właściwego krajowego organu sądowego lub administracyjnego i mieć podstawę w prawie Unii lub zgodnym z nim prawie krajowym. DSA określa minimalne elementy oraz obowiązek poinformowania organu o otrzymaniu i wykonaniu; nie tworzy samodzielnej materialnej podstawy do uznania każdej treści za nielegalną.

Nakaz z art. 9 powinien między innymi wskazywać podstawę prawną, uzasadnienie nielegalności, organ, dokładną lokalizację — na przykład URL — środki odwoławcze i właściwy zakres terytorialny. Nakaz z art. 10 powinien identyfikować konkretnego odbiorcę, wyjaśniać cel, konieczność i proporcjonalność w wymaganym zakresie oraz żądać tylko informacji już zgromadzonych do świadczenia usługi i pozostających pod kontrolą dostawcy.

Artykuł 10 nie nakazuje usługodawcy tworzenia danych, których nigdy nie miał, ani prowadzenia nowego dochodzenia w imieniu organu. Nie oznacza też, że każda kategoria istniejąca technicznie jest przechowywana w konkretnym planie usługi. Organ powinien najpierw rozpoznać model danych i retencję, a żądanie opisać identyfikatorami używanymi przez usługę.

Dlaczego URL bywa niewystarczający

Adres może prowadzić do dynamicznej treści zależnej od konta, języka, regionu, cookies lub czasu. Ten sam URL może później pokazywać zmieniony obiekt. Platforma może używać identyfikatora wpisu, komentarza, wiadomości, sklepu, sprzedawcy i wersji oferty. W nakazie lub wniosku warto zachować jednocześnie:

  • pełny URL i parametry;
  • wewnętrzny identyfikator treści, jeśli jest widoczny;
  • nazwę i identyfikator konta;
  • czas z oznaczeniem strefy;
  • kopię natywną, nagłówki i metadane utrwalenia;
  • opis widoku, języka, regionu i stanu zalogowania;
  • skrót pliku, jeżeli dotyczy stałego obiektu;
  • relację odpowiedzi, cytowania, udostępnienia albo reklamy.

Zrzut ekranu dokumentuje wygląd, ale nie zastępuje danych źródłowych. Kod HTML bez zasobów nie zachowuje filmu ani danych ładowanych przez API. Eksport konta może mieć inną strukturę niż publiczny widok. Dobra dokumentacja łączy warstwę widzialną z identyfikatorem dostawcy.

Usunięcie i zachowanie dowodu są różnymi celami

Pokrzywdzony chce szybkiego ograniczenia szkody. Organ potrzebuje zachowania treści, metadanych i danych konta. Platforma ma obowiązki moderacyjne i minimalizacyjne. Te cele mogą się zderzyć. Bez planu natychmiastowe usunięcie treści może uruchomić usunięcie części logów lub zerwać relacje potrzebne do przypisania. Odwlekanie reakcji może natomiast zwiększać krzywdę i rozpowszechnienie.

Rozwiązaniem nie jest domyślne pozostawianie treści publicznie. Należy równolegle:

  1. utrwalić publiczny stan w prawnie dopuszczalny sposób;
  2. skierować do właściwego dostawcy żądanie zachowania danych na odpowiedniej podstawie;
  3. oznaczyć dokładny zakres i okres;
  4. przeprowadzić procedurę zgłoszenia lub nakazu ograniczającego dostęp;
  5. odnotować każdą zmianę, decyzję i odpowiedź;
  6. później uzyskać dane zachowane właściwym instrumentem procesowym.

Zabezpieczenie (preservation) nie jest wydaniem (production). Dostawca może zamrozić określone dane przed rutynowym usunięciem, ale ich przekazanie wymaga odrębnej podstawy i procedury. Żądanie zachowania nie powinno być przedstawiane jako zgoda na przeglądanie treści przez organ.

DSA nie jest ustawą o retencji dowodów

DSA nakłada wybrane obowiązki przechowania, raportowania i prowadzenia repozytoriów, lecz nie tworzy ogólnego nakazu zachowania całej aktywności użytkowników dla śledztw. Dane mogą nie powstać, być agregowane, anonimizowane albo usuwane zgodnie z celem usługi. Obowiązek z art. 30 dotyczący danych przedsiębiorcy na marketplace, okres skarg, przejrzystość moderacji i repozytorium reklam nie są uniwersalnym archiwum konta.

Wnioskujący powinien rozróżnić:

  • dane abonenta lub rejestracyjne;
  • dane identyfikujące konto i powiązane interfejsy;
  • dane dostępu i uwierzytelnienia;
  • dane ruchu lub interakcji;
  • treść przechowywaną;
  • wersje i kopie usunięte;
  • dane płatnicze i wypłaty;
  • logi moderacji, zgłoszeń i odwołań;
  • dane reklamowe i targetowanie;
  • dane sprzedawcy, oferty, zamówienia i dostawy.

Każda kategoria ma inny cel pierwotny, retencję, podstawę prawną i czułość. Prośba „pełne dane użytkownika” jest zwykle zbyt szeroka i zarazem może pominąć dane właściwe dla produktu. Lepszy jest słownik pól uzgodniony z aktualną dokumentacją dostawcy, zastrzeżeniem wersji i okresu.

Polskie instrumenty procesowe

W postępowaniu karnym przepisy Kodeksu postępowania karnego dotyczące danych i korespondencji trzeba stosować według stanu z daty czynności. Artykuł 218 reguluje obowiązki określonych urzędów, instytucji i podmiotów prowadzących działalność telekomunikacyjną lub świadczących usługi drogą elektroniczną związane z wydaniem korespondencji i danych mających znaczenie dla postępowania. Artykuł 218a pozwala właściwym organom żądać zabezpieczenia danych informatycznych przed ich utratą, zmianą lub zniekształceniem; przepis określa ramy czasowe i dalsze postępowanie.

Artykuł 236a nakazuje odpowiednie stosowanie przepisów o zatrzymaniu rzeczy i przeszukaniu do dysponenta i użytkownika urządzenia zawierającego dane informatyczne lub systemu informatycznego, w zakresie danych, korespondencji elektronicznej oraz informacji o dostępie. Konkretna czynność wymaga ustalenia właściwości, podstawy, celu i zakresu; nazwa usługi „chmura” nie usuwa wymogów procesowych.

Szybkie zabezpieczenie jest szczególnie ważne dla logów krótkiej retencji, danych przejściowych i kont po zgłoszeniu nadużycia. Nie wolno jednak kopiować mechanicznie zagranicznego wzoru preservation letter i zakładać, że ma on identyczny skutek w Polsce. Liczy się właściwy instrument, organ, jurysdykcja i procedura dostawcy.

Europejskie nakazy e-Evidence od 18 sierpnia 2026 r.

Rozporządzenie (UE) 2023/1543 stosuje się od 18 sierpnia 2026 r. Wprowadza Europejski Nakaz Wydania Dowodów oraz Europejski Nakaz Zabezpieczenia Dowodów kierowane do wyznaczonej jednostki organizacyjnej lub przedstawiciela prawnego dostawcy oferującego usługi w Unii, gdy adresat znajduje się w innym związanym państwie członkowskim.

Rozporządzenie rozróżnia dane abonenta, dane żądane wyłącznie w celu identyfikacji użytkownika, dane ruchu i dane dotyczące treści. „Dowody elektroniczne” w tym reżimie to dane przechowywane przez dostawcę lub w jego imieniu w chwili otrzymania certyfikatu nakazu. To ograniczenie jest krytyczne: nakaz nie cofa czasu i nie odtwarza danych usuniętych przed doręczeniem.

Kategorie mają różne wymogi wydania i walidacji. Wniosek musi być konieczny i proporcjonalny, dotyczyć określonego postępowania i spełniać warunki rozporządzenia. Istnieją terminy zwykłe i awaryjne, podstawy odmowy lub kontroli, zasady poufności, powiadomienia i konfliktu z prawem państwa trzeciego. Nie należy przedstawiać e-Evidence jako dostępu organu do panelu usługodawcy; jest to sformalizowany kanał nakazowy.

Dyrektywa (UE) 2023/1544 dotyczy wyznaczania jednostek i przedstawicieli prawnych. Jej implementacja krajowa oraz praktyczna dostępność zdecentralizowanego systemu komunikacji wymagają sprawdzenia w dniu czynności. Rozporządzenie przewiduje, że obowiązek użycia tego systemu zacznie działać rok po odpowiednich aktach wykonawczych, więc data stosowania całego rozporządzenia i data obowiązkowego kanału IT nie są tym samym.

Stan polskiego wdrożenia DSA 23 sierpnia 2026 r.

DSA jako rozporządzenie jest bezpośrednio stosowane, zasadniczo od 17 lutego 2024 r. Pełne wykonywanie części kompetencji krajowego Koordynatora ds. usług cyfrowych wymaga jednak krajowych przepisów proceduralnych i organizacyjnych. W Polsce Prezes UKE został w maju 2025 r. tymczasowo wskazany uchwałą Rady Ministrów w ograniczonym zakresie współpracy i wymiany informacji.

Sejm 31 lipca 2026 r. uchwalił ustawę zmieniającą ustawę o świadczeniu usług drogą elektroniczną i inne ustawy, która ma ustanowić Prezesa UKE głównym organem i koordynatorem oraz rozdzielić zadania z UOKiK i KRRiT. Senat 6 sierpnia wniósł poprawkę. Według oficjalnej karty procesu legislacyjnego na 23 sierpnia prace nie były zakończone. Nie wolno więc opisywać uchwalonego projektu jako obowiązującej już ustawy ani podawać projektowanych procedur jako dostępnego środka.

W praktyce trzeba rozdzielić trzy warstwy:

  1. bezpośrednio obowiązujące przepisy DSA;
  2. obowiązujące polskie ustawy procesowe i materialne;
  3. projektowane przepisy krajowej egzekucji DSA, których treść i wejście w życie wymagają ponownego sprawdzenia.

To rozdzielenie chroni przed typowym błędem aktualności. Komunikat „Sejm uchwalił” nie oznacza zakończenia procesu, podpisu Prezydenta, ogłoszenia ani wejścia w życie. Po każdej zmianie stanu artykuł wymaga aktualizacji daty i odsyłacza do Dziennika Ustaw.

Obowiązek zawiadomienia o zagrożeniu życia lub bezpieczeństwa

Artykuł 18 DSA nakazuje dostawcy hostingu, który poweźmie informację rodzącą podejrzenie, że przestępstwo wiążące się z zagrożeniem życia lub bezpieczeństwa osoby miało miejsce, trwa albo prawdopodobnie nastąpi, szybkie poinformowanie właściwych organów ścigania lub sądowych i przekazanie dostępnych istotnych informacji. Jeżeli nie da się z rozsądną pewnością określić państwa, dostawca zawiadamia organy państwa swojej siedziby albo przedstawiciela lub Europol, bądź oba te podmioty.

Przepis nie jest ogólnym obowiązkiem zgłaszania każdego podejrzenia każdego przestępstwa. Ma określony próg związany z zagrożeniem życia lub bezpieczeństwa. Nie jest też upoważnieniem do bezgranicznego ujawniania wszystkich danych konta. Dostawca powinien ocenić relewantność, zachować ślad decyzji, podstawę, czas i zakres przekazania.

Dla organu zawiadomienie platformy jest początkiem weryfikacji. Klasyfikator, zgłaszający lub moderator mógł się pomylić; konto mogło być przejęte, wypowiedź cytatem, fikcją lub żartem, a zagrożenie jednocześnie może być pilne mimo niepewności. Reakcja operacyjna i ocena dowodowa biegną równolegle.

Log moderacji jako dowód

Decyzja o usunięciu treści ma własną historię. Artykuł 17 DSA wymaga w określonych sytuacjach przedstawienia odbiorcy jasnego uzasadnienia ograniczenia. Powinno ono wskazywać rodzaj środka, jego zakres terytorialny i czas, fakty i okoliczności, ewentualne zgłoszenie, użycie automatyzacji, podstawę prawną albo regulaminową oraz środki odwoławcze.

W sprawie istotne mogą być:

  • pierwotna treść i jej wersje;
  • czas utworzenia, publikacji, edycji i ograniczenia;
  • identyfikatory autora, treści i wątku;
  • zgłoszenie oraz załączniki;
  • identyfikator reguły lub modelu automatycznego;
  • decyzja moderatora i zastosowana polityka w ówczesnej wersji;
  • uzasadnienie przekazane użytkownikowi;
  • skarga wewnętrzna i wynik;
  • przywrócenie, ponowne usunięcie lub ograniczenie zasięgu;
  • przekazanie do organu i zakres danych.

Log wewnętrzny nie jest samoobjaśniający. Kod przyczyny może zmienić nazwę między wersjami. Czas decyzji może być zapisany w UTC, a interfejs wyświetlać strefę operatora. Konto moderatora może oznaczać kolejkę zespołu, nie osobę. Eksport powinien zawierać słownik pól, strefy, wersję systemu i pochodzenie rekordu.

Odwołanie nie usuwa wartości pierwotnej decyzji, ale zmienia jej interpretację

Jeżeli platforma przywróciła treść po skardze, pierwsza decyzja nadal może dokumentować czas i proces, lecz nie jest wiarygodnym samodzielnym potwierdzeniem nielegalności. Jeżeli utrzymała decyzję, również nie zastępuje to wyroku. W obu sytuacjach historia odwołania pokazuje niepewność, kryteria i ewentualny błąd automatyzacji.

W statystyce moderacji mianownik ma znaczenie. Liczba usunięć bez liczby materiałów, zgłoszeń, odwołań i odwróconych decyzji nie mierzy trafności. DSA wymaga raportowania między innymi użycia automatyzacji i wskaźników dokładności oraz możliwego poziomu błędu w przewidzianym zakresie, co może pomóc ocenić system, ale nie daje parametrów konkretnej decyzji bez danych sprawy.

Identyfikacja konta i osoby

Pośrednik identyfikuje najpierw rekord w swoim systemie. Konto może zawierać deklarowane nazwisko, numer telefonu, e-mail, metodę płatności, urządzenie, token, adres IP i logowania. Każdy element ma inne znaczenie. E-mail może być przejęty, telefon współdzielony, karta użyta za zgodą innej osoby, adres IP współdzielony przez CGNAT, a urządzenie zdalnie sterowane.

Łańcuch atrybucji powinien wyglądać następująco:

treść → identyfikator obiektu → konto → sesja → urządzenie lub połączenie → dane abonenta → człowiek → intencja.

Każda strzałka wymaga źródła i czasu. Dane marketplace z art. 30 wzmacniają identyfikację przedsiębiorcy, ale nie dowodzą autora każdej oferty. Log platformy może wskazać sesję edycji, ale nie osobę przy klawiaturze. Szerzej problem opisuje artykuł Profil cyfrowy — jak nie pomylić konta, urządzenia i zachowania z człowiekiem.

Transgraniczność i wskazanie właściwego adresata

Marka może mieć spółkę dominującą w państwie trzecim, usługę oferowaną w Unii, serwery w kilku regionach, procesora danych w innym kraju i przedstawiciela prawnego do konkretnych instrumentów. Adres do zgłoszeń DSA nie musi być adresem do nakazów karnych. Inspektor ochrony danych, punkt kontaktowy organów, zespół nadużyć, agent copyright i przedstawiciel e-Evidence mają różne kompetencje.

Przed wysłaniem żądania należy ustalić:

  • podmiot zawierający umowę z użytkownikiem w dacie zdarzenia;
  • dostawcę konkretnej funkcji, nie tylko marki;
  • państwo siedziby i ewentualnego przedstawiciela;
  • właściwy oficjalny kanał dla rodzaju żądania;
  • identyfikatory akceptowane przez system;
  • język, podpis, uwierzytelnienie i wymagany formularz;
  • tryb awaryjny oraz osobę do potwierdzenia odbioru;
  • czy żądanie dotyczy zachowania, wydania, treści, informacji czy usunięcia.

Nie należy wysyłać danych sprawy na adres znaleziony w przypadkowym poradniku. Dostawcy publikują portale dla organów, ale ich autentyczność trzeba zweryfikować z domeny i dokumentacji. Podszycie pod organ jest znanym ryzykiem, więc przedsiębiorca może wymagać silnego uwierzytelnienia, a próba obejścia procedury obniża bezpieczeństwo materiału.

Orzecznictwo jako mapa granic, nie katalog automatycznych wyników

Orzeczenia Trybunału Sprawiedliwości rozwijały pojęcie neutralnej i aktywnej roli w dawnym reżimie dyrektywy o handlu elektronicznym. W sprawach dotyczących wyszukiwarek, platform handlowych i hostingu Trybunał badał, czy działalność była techniczna, automatyczna i bierna, czy dostawca miał wiedzę lub kontrolę nad informacją. DSA przenosi rdzeń wyłączeń do rozporządzenia i powinien być punktem wyjścia dla zdarzeń objętych jego stosowaniem, a dawne orzeczenia trzeba czytać z uwzględnieniem nowego tekstu.

W sprawie L'Oréal przeciw eBay (C‑324/09) Trybunał analizował między innymi aktywną rolę operatora rynku, wiedzę o nielegalnych ofertach i możliwość nakazów skutecznych, proporcjonalnych oraz odstraszających. W sprawach połączonych YouTube i Cyando (C‑682/18 i C‑683/18) rozważał komunikowanie utworów przez operatorów oraz warunki wyłączenia odpowiedzialności. W sprawie Glawischnig-Piesczek przeciw Facebook Ireland (C‑18/18) dopuścił w określonym kontekście nakaz obejmujący informacje identyczne i równoważne, nie znosząc zakazu ogólnego monitorowania.

Z tych orzeczeń nie wolno tworzyć prostych haseł: „algorytm zawsze oznacza aktywną rolę”, „platforma nigdy nie odpowiada” albo „nakaz może objąć cały świat w każdej sprawie”. Wynik zależy od funkcji, roszczenia, precyzji treści, możliwości technicznych, proporcjonalności, prawa właściwego i praw podstawowych.

Cztery studia przypadku

1. Fałszywy sklep za CDN

Pokrzywdzony widzi domenę, certyfikat i adresy należące do globalnego CDN. Nie oznacza to, że CDN jest sprzedawcą ani pierwotnym hostingiem. Plan rozdziela rejestratora domeny, autorytatywny DNS, CDN/reverse proxy, origin, operatora płatności, rachunek odbiorcy, narzędzie analityczne i konto reklamowe.

Najpierw utrwala się ofertę, regulamin, identyfikatory produktów, koszyk, rachunek i komunikację. Następnie zabezpiecza dane u właściwych warstw. Log CDN może wskazać połączenia z origin albo konfigurację klienta, ale zakres zależy od produktu i retencji. Rejestrator może mieć dane klienta i płatności, nie treść serwera. Bank ma przepływ, nie kod strony. Spójność powstaje dopiero przez czas i identyfikatory.

Blokada domeny może szybko zmniejszyć szkodę, lecz przestępca może przejść na inną nazwę. Wyłączenie origin usuwa treść, ale może też wpłynąć na innych klientów współdzielonej infrastruktury. Środek powinien być konkretny i proporcjonalny, a dane zabezpieczone przed zmianą.

2. Groźba na platformie społecznościowej

Wpis rodzi podejrzenie bezpośredniego zagrożenia życia. Platforma może mieć obowiązek z art. 18 DSA, a organ prowadzi ocenę pilności niezależnie. Publiczny profil i lokalizacja w opisie nie są wystarczające do skierowania interwencji. Potrzebna jest korelacja konta, czasu, sesji, urządzenia, wcześniejszych wpisów, relacji z potencjalnym pokrzywdzonym i danych terenowych.

Nie czeka się z ochroną życia na pełną opinię biegłego, ale zachowuje się poziom niepewności. Cytat z filmu, konto parodystyczne albo przejęcie to hipotezy alternatywne. Platforma powinna zachować treść, wersje i ślad moderacji; organ powinien odróżnić dane otrzymane awaryjnie od materiału uzyskanego następnie w formalnym trybie.

3. Nielegalny produkt na marketplace

Oferta może naruszać prawo dotyczące produktu, własności intelektualnej, bezpieczeństwa lub konsumenta. Platforma ma dane z identyfikowalności przedsiębiorcy, ale sprzedawca może użyć słupa albo przejętego rachunku. Materiał obejmuje wersje oferty, zdjęcia źródłowe, numer produktu, wiadomości, zamówienia, płatności, wypłaty, adres nadania, reklamacje, inne konta i urządzenia.

Usunięcie jednej oferty nie rozwiązuje sieci sprzedawców. Jednocześnie podobne zdjęcie lub opis nie wystarcza do scalenia kont; legalni sprzedawcy używają materiałów producenta. Graf powinien ważyć krawędzie według diagnostyczności: wspólny rachunek wypłat i urządzenie znaczą zwykle więcej niż wspólne zdjęcie katalogowe.

4. Plik w szyfrowanej chmurze

Dostawca hostingu widzi konto, rozmiar, czas, operacje i zaszyfrowany obiekt, ale nie ma klucza klienta. Nakaz wydania może dostarczyć to, co dostawca kontroluje; nie powinien obiecywać odszyfrowania. Organ zabezpiecza urządzenie końcowe, klucze, pamięć, historię synchronizacji i inne źródła.

Brak podglądu treści nie oznacza braku roli dowodowej chmury. Metadane mogą potwierdzić utworzenie, przesłanie, udostępnienie i usunięcie. Nie dowodzą same w sobie semantycznej zawartości. Skrót szyfrogramu można porównywać z identycznym szyfrogramem, ale losowy nonce lub szyfrowanie zależne od sesji może dawać różne wyniki dla tego samego plaintextu.

Procedura dla organu lub zespołu śledczego

Etap 1: rozpoznanie usługi

Zapisz nazwę produktu, domenę, aplikację, wersję i funkcję. Zidentyfikuj wszystkie podmioty w łańcuchu oraz niepewność. Nie zakładaj, że rekord WHOIS wskazuje autora ani że adres IP CDN wskazuje origin.

Etap 2: utrwalenie stanu

Zachowaj widok, dane natywne dostępne legalnie, nagłówki, URL, identyfikatory, czas, strefę, konto i kontekst. Udokumentuj środowisko sesji. Oblicz funkcje skrótu plików i zachowaj log czynności. Jeżeli treść jest dynamiczna, wykonaj kontrolowane powtórzenie i opisz różnice.

Etap 3: model retencji

Ustal, jakie dane mogą zniknąć pierwsze: log CDN, sesja, adres IP, usunięta wiadomość, kopia robocza moderacji czy pełna wersja oferty. Informacje czerp z oficjalnej dokumentacji i potwierdzenia dostawcy; stare tabele internetowe mogą nie odpowiadać planowi i regionowi.

Etap 4: zachowanie danych

Skieruj żądanie do właściwego podmiotu na właściwej podstawie. Wskaż identyfikatory, okres z marginesem uzasadnionym dryfem i dokładne kategorie. Uzyskaj potwierdzenie odbioru, numer sprawy i informację o zakresie zachowania. Nie myl zachowania z wydaniem.

Etap 5: ograniczenie szkody

Zgłoszenie z art. 16, nakaz z art. 9 lub inny środek powinien precyzyjnie lokalizować treść i podstawę. Rozważ zakres terytorialny, kopie, cytowania i konta powiązane. Nie żądaj blokady całej usługi, gdy wystarczy konkretny obiekt, chyba że szerszy środek ma wyraźną podstawę i uzasadnienie.

Etap 6: wydanie

Użyj właściwego instrumentu krajowego, współpracy międzynarodowej lub e-Evidence. Zweryfikuj podmiot, podpis, kompletność segmentów, format i manifest. Zachowaj oryginalny pakiet dostawcy, kopię roboczą i narzędzia parsujące.

Etap 7: korelacja

Połącz obiekt z kontem, sesją, urządzeniem, płatnością, dostawą i człowiekiem. Użyj danych niezależnych. Sprawdź przejęcie konta, automatyzację, delegowanie, wspólny zespół i różnice czasu.

Etap 8: raport

Oddziel dane dostawcy od interpretacji. Opisz brakujące pola, politykę retencji, transformacje eksportu, niepewność czasu i alternatywy. Nie nazywaj statusu moderacyjnego kwalifikacją prawną.

Procedura dla dostawcy

Dostawca powinien rozdzielić kanały zwykłych zgłoszeń, pilnych zagrożeń, nakazów treściowych, nakazów informacyjnych, zabezpieczenia dowodu i wniosków użytkowników. Wspólna skrzynka bez klasyfikacji zwiększa ryzyko, że pilne zagrożenie zniknie w kolejce albo pracownik pomyli prośbę prywatną z nakazem organu.

Minimalny rejestr obsługi obejmuje:

  • identyfikator sprawy i kanał wpływu;
  • tożsamość oraz uwierzytelnienie wnioskodawcy;
  • podstawę i typ żądania;
  • identyfikatory konta, treści i okres;
  • ocenę jurysdykcji oraz właściwego podmiotu grupy;
  • decyzję, osoby zatwierdzające i czas;
  • zakres zachowania, ujawnienia lub ograniczenia;
  • źródłowy eksport, manifest i bezpieczne przekazanie;
  • informację użytkownikowi albo podstawę odroczenia;
  • termin przeglądu, zwolnienia blokady i usunięcia kopii;
  • odwołanie i wynik.

Należy kontrolować uprawnienia wewnętrzne. Moderator nie musi mieć prawa eksportu danych abonenta, a analityk bezpieczeństwa dostępu do treści prywatnych. Zespół prawny zatwierdza podstawę, zespół techniczny wykonuje zakres, a log audytowy pozwala wykazać rozdział. W nagłym zagrożeniu procedura może być szybsza, ale nie bezśladowa.

Minimalizacja i tajemnice chronione

Pakiet danych powinien odpowiadać żądaniu. Jeżeli konto ma dziesięć lat historii, a nakaz dotyczy dwóch dni i konkretnego przestępstwa, pełny eksport wymaga osobnego uzasadnienia. Szczególnej ochrony wymagają rozmowy z obrońcą, dane zdrowotne, źródła dziennikarskie i treści osób trzecich. Dostawca nie rozstrzyga sam całego prawa dowodowego, ale powinien mieć ścieżkę eskalacji i oznaczania materiału.

Redakcja danych musi być odtwarzalna. Nie należy nadpisywać pliku źródłowego czarnymi polami. Zachowuje się chroniony oryginał, tworzy wersję do przekazania, opisuje regułę i generuje manifest. Organ powinien wiedzieć, że otrzymał zakres zredagowany i na jakiej podstawie.

Walidacja eksportu dostawcy

Eksport jest produktem systemu, nie lustrzanym obrazem bazy. Może łączyć tabele, normalizować czas, tłumaczyć kody, pomijać rekordy wewnętrzne i zmieniać format binarny. Odbiorca powinien uzyskać dokumentację pól oraz odpowiedzi na pytania:

  • Czy eksport jest pełny dla żądanych kategorii i okresu?
  • Czy dane usunięte, zawieszone i aktywne są rozróżnione?
  • Jaki zegar i strefę stosuje każde pole?
  • Czy identyfikatory są globalne, regionalne czy ponownie używane?
  • Czy adres IP zapisano przed czy po wewnętrznym proxy?
  • Czy pola urządzenia pochodzą z deklaracji klienta, tokenu czy telemetrii?
  • Czy treść została przekształcona, transkodowana lub skompresowana?
  • Czy plik zawiera wszystkie załączniki i relacje?
  • Czy wartości null, puste i brak kolumny mają różne znaczenie?
  • Jaka wersja narzędzia utworzyła paczkę?

Funkcja skrótu pakietu potwierdza późniejszą integralność bitową, ale nie jego kompletność. Podpis dostawcy wspiera pochodzenie, lecz nie dowodzi, że algorytm eksportu nie miał błędu. W sprawach spornych potrzebne mogą być dane kontrolne, drugi eksport, zeznanie osoby kompetentnej albo dokumentacja systemu.

Typowe błędy

„Dostał zgłoszenie, więc odpowiada za wszystko”

Wiedza jest oceniana wobec konkretnej informacji i jakości zgłoszenia. Zakres podobnych treści, kopii i przyszłych publikacji wymaga analizy. Zgłoszenie może być błędne, złośliwe lub niedostateczne.

„Usunął, więc przyznał nielegalność”

Platforma może działać na podstawie regulaminu, ostrożności, ryzyka lub automatycznej reguły. Usunięcie nie jest wyrokiem ani przyznaniem wszystkich znamion.

„Nie usunął, więc treść jest legalna”

Brak działania może wynikać z braku wiedzy, złej lokalizacji, błędu kolejki, odmiennej oceny albo nieskuteczności środka. Legalność ustala się na podstawie prawa i faktów.

„Hosting ma plik, więc zna jego zawartość”

Szyfrowanie klienta, archiwum chronione hasłem, format własny albo fragmentacja mogą uniemożliwiać odczyt. Jednocześnie dostawca może mieć relewantne metadane i możliwość zachowania obiektu.

„Adres IP platformy wskazuje sprawcę”

Adres może należeć do CDN, proxy, NAT, VPN albo hosta pośredniego. Atrybucja wymaga czasu, portu, logów sesji, urządzenia i danych niezależnych.

„DSA nakazuje filtrowanie całego Internetu”

Artykuł 8 zakazuje ogólnego obowiązku monitorowania. DSA dopuszcza konkretne nakazy i nakłada stopniowane obowiązki, ale nie ustanawia bezgranicznego skanowania każdej treści.

„E-evidence daje dostęp do wszystkiego od 18 sierpnia”

Rozporządzenie tworzy nakazy dla określonych przechowywanych kategorii, warunki, organy, adresatów, terminy i środki kontroli. Nie tworzy technicznego dostępu do systemu ani danych nieistniejących w chwili otrzymania.

Checklista sprawy

  1. Jaką funkcję pełni każdy podmiot dla konkretnej informacji?
  2. Czy chodzi o własną treść dostawcy czy informację odbiorcy?
  3. Który z art. 4–6 DSA może mieć znaczenie i czy spełniono warunki?
  4. Czy żądanie dotyczy usunięcia, informacji, zachowania czy wydania?
  5. Czy treść jest nielegalna, tylko szkodliwa czy wyłącznie sprzeczna z regulaminem?
  6. Czy zachowano URL, ID obiektu, konto, czas, wersję i kontekst?
  7. Czy usługodawca rzeczywiście kontroluje żądane dane?
  8. Jaka jest retencja każdej kategorii i czy biegnie już usunięcie?
  9. Czy występuje pilne zagrożenie życia lub bezpieczeństwa?
  10. Czy właściwy jest instrument krajowy, pomoc prawna czy e-Evidence?
  11. Czy podmiot i kanał doręczenia są oficjalne oraz uwierzytelnione?
  12. Czy zakres jest konieczny, proporcjonalny i ograniczony czasowo?
  13. Czy dane zachowane zostały później formalnie wydane?
  14. Czy eksport ma manifest, skróty, słownik pól i opis czasu?
  15. Czy decyzje automatyczne oraz ludzkie są rozdzielone?
  16. Czy status moderacji nie został pomylony z kwalifikacją prawną?
  17. Czy konto połączono z sesją, urządzeniem i człowiekiem niezależnymi źródłami?
  18. Czy zbadano przejęcie konta, delegowanie, bota i wspólne użycie?
  19. Czy materiał osób trzecich i tajemnic chronionych został zminimalizowany?
  20. Czy wersja prawa odpowiada dokładnej dacie czynności?

Wnioski

Odpowiedzialność pośredników internetowych jest mapą funkcji, nie listą nazw firm. DSA warunkowo chroni neutralny przekaz, caching i hosting przed odpowiedzialnością za informacje odbiorców, a jednocześnie zachowuje możliwość konkretnych nakazów i ustanawia obowiązki proceduralne. Platforma, marketplace, wyszukiwarka, CDN, rejestrator i dostawca dostępu nie są wymiennymi adresatami.

Dla kryminalistyki najważniejsze są cztery rozdzielenia:

  • odpowiedzialność za cudzą treść nie jest tym samym co obowiązek wykonania nakazu;
  • zgłoszenie moderacyjne nie jest nakazem procesowym;
  • zabezpieczenie danych nie jest ich wydaniem;
  • dane konta nie są automatycznie tożsamością człowieka.

Skuteczne postępowanie ustala warstwy usługi, utrwala dynamiczną treść, szybko chroni dane przed rutynowym usunięciem, ogranicza szkodę, używa właściwego kanału wydania i zachowuje pochodzenie eksportu. Dopiero potem łączy obiekt, konto, sesję, urządzenie, pieniądze i osobę. Bez tej kolejności nawet szybka odpowiedź dużej platformy może być materiałem źle zaadresowanym, niepełnym albo nadinterpretowanym.

Źródła i dalsza lektura

Prawo Unii Europejskiej

Prawo i stan procesu w Polsce

Orzecznictwo i dokumenty instytucjonalne

Książka

  • Marek Białkowski, Ocena prawna i kryminalistyczna przestępczości komputerowej — wykorzystano jako historyczna mapa ról operatora, access providera, dostawcy treści, hostingu i użytkownika. Stan prawny książki, zasadniczo do 1 lipca 2015 r., zastąpiono aktualnymi źródłami DSA, e-Evidence i prawa polskiego.

Stan prawny i stan procesu legislacyjnego sprawdzono 23 sierpnia 2026 r. Artykuł nie jest poradą prawną ani instrukcją kierowania nakazów w konkretnej sprawie. Przed czynnością trzeba sprawdzić aktualny Dziennik Ustaw, EUR-Lex, jurysdykcję, wersję procedury usługodawcy i treść postanowienia.