Retencja danych telekomunikacyjnych w Polsce pod znakiem zapytania: UODO mówi o niezgodności z prawem UE
Temat, który przez lata pozostawał raczej na zapleczu debaty publicznej, właśnie wrócił na pierwszy plan. 12 marca 2026 r. Prezes UODO opublikował tzw. istotny pogląd, w którym wskazał, że obowiązujący w Polsce model retencji danych telekomunikacyjnych może być sprzeczny zarówno z prawem Unii Europejskiej, jak i z Kartą Praw Podstawowych UE. Chodzi o system, w którym operatorzy przechowują dane o ruchu i lokalizacji użytkowników przez 12 miesięcy, niezależnie od tego, czy dana osoba ma jakikolwiek związek z przestępstwem.
To ważny moment, bo UODO nie mówi już wyłącznie o teoretycznych wątpliwościach. Organ wprost sygnalizuje, że polskie przepisy wymagają dostosowania do europejskich standardów ochrony prywatności, a bezpośrednim impulsem do zajęcia stanowiska było skierowanie przez Sąd Okręgowy w Gdańsku pytania prejudycjalnego do Trybunału Sprawiedliwości UE w sprawie C-741/25 Ranerski.
Czym właściwie jest retencja danych telekomunikacyjnych
W najprostszym ujęciu retencja danych telekomunikacyjnych oznacza obowiązek przechowywania przez operatorów określonych informacji o korzystaniu z usług łączności elektronicznej. Nie chodzi co do zasady o samą treść rozmów czy wiadomości, ale o tzw. metadane, czyli dane o tym, kto, kiedy, z kim, skąd i jak długo się komunikował albo z jakiej lokalizacji korzystał z usługi. W polskim modelu te dane są przechowywane przez rok, a następnie mogą być udostępniane uprawnionym służbom; po upływie tego okresu powinny zostać zniszczone.
Właśnie ten model budzi największe zastrzeżenia. UODO podkreśla, że ma on charakter prewencyjny i powszechny, bo obejmuje w praktyce wszystkich użytkowników, a nie tylko osoby, wobec których istnieje konkretne i poważne podejrzenie. I to właśnie tutaj zaczyna się zasadniczy konflikt z europejskim standardem ochrony praw podstawowych.
Dlaczego UODO uważa, że obecne przepisy są problematyczne
Prezes UODO wskazuje, że ogólna i niezróżnicowana retencja danych jest sprzeczna z prawem Unii. Według utrwalonego orzecznictwa TSUE gromadzenie danych przez operatorów może być dopuszczalne tylko wtedy, gdy jest ściśle niezbędne i proporcjonalne, na przykład dla zwalczania poważnej przestępczości albo ochrony bezpieczeństwa państwa. Tymczasem polski model, w ocenie UODO, działa znacznie szerzej: obejmuje wszystkich obywateli i nie opiera się na wystarczająco zawężonych kryteriach.
UODO odwołuje się przy tym nie tylko do prawa unijnego, ale też do polskiej Konstytucji. Organ wskazuje, że retencja ingeruje w prawo do prywatności, tajemnicę komunikowania się oraz autonomię informacyjną jednostki. Tego typu ingerencja może być dopuszczalna tylko wtedy, gdy spełnia wymóg konieczności i proporcjonalności w demokratycznym państwie prawa.
Bardzo ważne jest jednak jedno zastrzeżenie: sam UODO zaznaczył, że przedstawiony pogląd nie jest wiążącą interpretacją prawa ani rozstrzygnięciem indywidualnej sprawy. To nie unieważnia automatycznie obowiązujących przepisów. Ale politycznie i prawnie jest to bardzo mocny sygnał, że obecny system może nie obronić się w starciu z prawem UE.
TSUE od lat idzie w jednym kierunku
Stanowisko UODO nie pojawiło się znikąd. Organ przypomina, że Trybunał Sprawiedliwości UE już wcześniej wielokrotnie podważał modele masowego, niezróżnicowanego gromadzenia danych telekomunikacyjnych. W komunikacie UODO przywołano m.in. linię orzeczniczą ze spraw Digital Rights Ireland, La Quadrature du Net oraz Privacy International, w których TSUE konsekwentnie podkreślał, że państwo nie może budować systemu stałej, ogólnej prewencji wobec całej populacji użytkowników.
Szczególne znaczenie w polskiej debacie ma też wyrok TSUE z 30 kwietnia 2024 r. w sprawie C-178/22 Procura della Repubblica presso il Tribunale di Bolzano. Trybunał potwierdził tam, że dostęp do danych telekomunikacyjnych musi być powiązany z wagą przestępstwa, a organ autoryzujący taki dostęp powinien mieć realną możliwość odmowy albo ograniczenia wniosku. W skrócie: dostęp do danych nie może opierać się na logice ogólnej wygody śledczej. Ma być wyjątkiem, a nie mechanizmem domyślnym.
To właśnie z tego powodu UODO już w lipcu 2024 r. twierdził, że Polska powinna zmienić regulacje dotyczące dostępu policji i prokuratury do danych objętych tajemnicą telekomunikacyjną. Organ wskazywał wtedy, że krajowe przepisy nie uzależniają dostępu do danych w sposób dostatecznie precyzyjny od rodzaju i ciężaru przestępstwa, a sam wniosek organu ścigania nie zawsze podlega wystarczającej weryfikacji.
Polska była ostrzegana już wcześniej
To nie jest pierwszy moment, w którym UODO sygnalizuje problem. Już w czerwcu 2024 r., na etapie prac nad Prawem komunikacji elektronicznej, Prezes UODO ostrzegał, że projekt powiela wcześniejszy, kwestionowany w Europie model przechowywania i udostępniania danych telekomunikacyjnych. Innymi słowy: wątpliwości istniały jeszcze zanim nowe przepisy weszły do systemu na dobre.
To sprawia, że dzisiejsza debata jest jeszcze poważniejsza. Nie mówimy o nowo odkrytym problemie, lecz o sporze, który dojrzewał od dawna i który teraz może wejść w fazę rozstrzygnięć sądowych.
Co z Europejskim Trybunałem Praw Człowieka
UODO zwraca uwagę także na standard strasburski. W swoim komunikacie organ przypomniał, że Europejski Trybunał Praw Człowieka uznał, iż polskie przepisy dotyczące kontroli operacyjnej i dostępu do danych komunikacyjnych nie zapewniają wystarczających gwarancji ochrony prawa do prywatności. Ten wątek wzmacnia argument, że problem nie dotyczy wyłącznie technicznego sporu o wykładnię prawa UE, ale szerzej — granic ingerencji państwa w sferę życia prywatnego.
Co to oznacza dla obywateli
Z perspektywy zwykłego użytkownika komunikat UODO ma bardzo prosty sens: państwo i operatorzy przechowują więcej danych o naszej komunikacji, niż być może pozwalają na to standardy europejskie. Nie chodzi o to, że służby na co dzień czytają treść prywatnych wiadomości, ale o to, że przez długi czas istnieje systemowy obowiązek utrzymywania informacji, które pozwalają odtworzyć schemat kontaktów, czasu komunikacji czy lokalizacji. A to samo w sobie jest bardzo silną ingerencją w prywatność.
W praktyce temat dotyka więc nie tylko prawników, operatorów czy służb, ale każdego użytkownika telefonu i internetu. W epoce, w której metadane potrafią powiedzieć o człowieku bardzo dużo — często więcej niż pojedyncza treść wiadomości — pytanie o zakres ich przechowywania przestaje być niszowe.
Co to oznacza dla operatorów telekomunikacyjnych
Dla operatorów sytuacja jest niewygodna, bo znajdują się między dwoma porządkami. Z jednej strony obowiązują ich krajowe przepisy, które nakładają obowiązek retencji. Z drugiej strony rośnie presja wynikająca z prawa UE i z orzecznictwa TSUE, które podważa model ogólny i niezróżnicowany. To oznacza, że operatorzy sami nie są dziś w pozycji, by po prostu „zdecydować”, że przestaną przechowywać dane — ale jednocześnie coraz trudniej ignorować argument, że obecny stan prawny może być wadliwy systemowo.
Co może wydarzyć się dalej
Najbardziej prawdopodobny scenariusz jest taki, że temat będzie teraz rozwijał się równolegle na kilku poziomach. Po pierwsze, istotne będzie to, co zrobi TSUE w sprawie C-741/25, zadanej przez sąd w Gdańsku. Po drugie, rosnąć będzie presja na ustawodawcę, by zmienił polskie przepisy i zawęził model retencji do sytuacji rzeczywiście wyjątkowych. Po trzecie, coraz częściej mogą pojawiać się spory sądowe, w których strony będą powoływać się bezpośrednio na standard ochrony wynikający z prawa UE i Karty Praw Podstawowych.
Na dziś nie oznacza to jeszcze automatycznego końca retencji danych telekomunikacyjnych w Polsce. Oznacza jednak, że jej obecny kształt został bardzo wyraźnie zakwestionowany przez organ stojący na straży ochrony danych. A kiedy UODO mówi wprost, że krajowy model może być sprzeczny z prawem Unii, trudno traktować to jako marginalną uwagę ekspercką. To już jest poważny sygnał dla rządu, parlamentu, sądów i operatorów, że obecne przepisy mogą nie wytrzymać dłużej zderzenia ze standardem europejskim.
Źródła
UODO, 12 marca 2026 r. — komunikat „Retencja danych telekomunikacyjnych wymaga dostosowania do standardów UE – istotny pogląd PUODO”.
UODO, 22 lipca 2024 r. — komunikat „Dostęp policji i prokuratury do danych telekomunikacyjnych. Prezes UODO o wyroku TSUE”.
CURIA / TSUE — sprawa C-178/22 Procura della Repubblica presso il Tribunale di Bolzano, wyrok z 30 kwietnia 2024 r. oraz komunikat prasowy Trybunału.
CURIA / TSUE — sprawa C-741/25 Ranerski, pytanie prejudycjalne z Sądu Okręgowego w Gdańsku, sprawa w toku.
UODO, 17 czerwca 2024 r. — komunikat o projekcie Prawa komunikacji elektronicznej i zastrzeżeniach wobec modelu retencji.
ETPCz / HUDOC — sprawa Pietrzak and Bychawska-Siniarska and Others v. Poland, dotycząca krajowego reżimu kontroli operacyjnej i dostępu do danych komunikacyjnych.