Sąd Okręgowy oddalił apelację ZUS w sprawie protokołu KSI MAIL. Koniec.

Dziś przed Sądem Okręgowym w Warszawie odbyła się odroczona wcześniej rozprawa w sprawie z powództwa Sergiusza Pawłowicza przeciwko Zakładowi Ubezpieczeń Społecznych, w której powód domagał się udostępnienia informacji publicznej, tj. ujawnienia specyfikacji technicznej protokołu KSI MAIL. Była to rozprawa, w której sąd rozpatrywał apelację ZUS po tym, jak Sąd Rejonowy uznał tego typu protokół komunikacyjny za informację publiczną. Sąd Okręgowy oddalił apelację ZUS, a zatem można powiedzieć, że po pięciu latach i jednym miesiącu Sergiusz Pawłowicz, reprezentowany przez mec. Artura Kmieciaka, wygrał sprawę. Orzeczenie jest prawomocne i w żadnym toku instancji zaskarżeniu nie podlega.

Zacznijmy od początku. Sąd Rejonowy nakazał Zakładowi Ubezpieczeń Społecznych w Warszawie, a by udostępnił Sergiuszowi Pawłowiczowi informację publiczną, specyfikację techniczną protokołu komunikacyjnego KSI MAIL, wykorzystywanego przez program komputerowy "Płatnik - Przekaz elektroniczny", czyli uwzględnił powództwo w całości. Sąd Rejonowy ustalił, iż powód powołując się na art. 1 i 2 ustawy o dostępie do informacji publicznej wystąpił do pozwanego o udostępnienie ww. informacji. Program "Płatnik" zaprojektowany i wykonany został wyłącznie na jedną platformę operacyjną Windows firmy Microsoft, co oznacza, że aby z niego skorzystać wymagane jest posiadanie wskazanego systemu operacyjnego. Niezależnie jednak od tego grupa programistów podjęła się realizacji projektu pod nazwą "Janosik", którego przeznaczeniem miało być wykonanie programu służącego do teletransmisji danych ubezpieczeniowych do pozwanego ZUS, działającego niezależnie od wskazanego systemu operacyjnego. Warunkiem koniecznym dla stosowania tego programu jest dostęp do dokumentacji technicznej protokołu KSI MAIL, który odpowiada za komunikację pomiędzy komputerami ubezpieczonych, a komputerami pozwanego Zakładu.

W 2003 roku budowa protokołu KSI MAIL została zbadana przez niezależnych programistów (por. ZUS: oficjalne stanowisko), a wyniki tych badań zostały publicznie ogłoszone. Żadne z użytych narzędzi nie stanowi własności firmy PROKOM SOFTWARE (producent Płatnika - Pozwany oraz PROKOM SOFTWARE zawarły w dniu 10 października 1997 roku umowę o zaprojektowanie i wykonanie kompleksowego systemu informatycznego dla ZUS, na mocy której pozwany zobowiązał się do zachowania tajemnicy technologii i kodu źródłowego oprogramowania). Pozwany odmówił udostępnienia informacji powodowi, a motywem odmowy było rzekome zagrożenie dla całego systemu informatycznego, tajemnicę służbową firmy PROKOM SOFTWARE, oraz ustawową wyłączność programu udostępnionego przez pozwanego płatnikom składek.

W tej sprawie była również wniesiona skarga do Naczelnego Sądu Administracyjnego (trzeba powiedzieć, że tak naprawdę toczyły się równolegle dwa postępowania - jedno, w którym Sergiusz Pawłowicz występował w swoim imieniu - syg. Akt II SAB/Wr 72/02, por. NSA przyjął pozew w sprawie ZUS oraz NSA umywa ręce, drugie zaś, w którym stroną było stowarzyszenie Internet Society Poland; por. Wynik sprawy ISOC v. ZUS, NSA i płatnik oraz Sprawy przed NSA (Płatnik)). Skarga została odrzucona, gdyż zdaniem NSA spór powinien być przedmiotem rozpoznawania sądu powszechnego.

Sąd rejonowy uznając powództwo stwierdził, że spór pomiędzy stronami koncentruje się wokoło istnienia negatywnych przesłanek dostępu do informacji publicznej. Każda informacja w sprawach publicznych stanowi informację publiczną w rozumieniu ustawy (art. 1 ust. 1) i podlega udostępnieniu na zasadach określonych w ustawie o dostępie do informacji publicznej. Sąd Rejonowy stwierdził również, że art. 2 ust. 1 ustawy wprowadza zasadę generalnej legitymacji podmiotów w ramach uzyskania informacji publicznej, przy czym z ustępu 2 wynika, że realizacja prawa wynikającego z omawianych przepisów nie może być uzależniona od wykazania interesu prawnego lub faktycznego. Sąd Rejonowy zatem uznał, że w realiach omawianej sprawy ma to o tyle znaczenie, że uzasadniając żądanie powód powoływał się na obszerną argumentację, mającą swe uzasadnienie w szeroko rozumianym interesie społecznym. Definicja informacji publicznej z art. 1 ust. 1 ustawy jest bardzo szeroka i w istocie wprowadza do porządku prawnego generalne domniemanie, że wszystko co dotyczy szeroko rozumianej relacji pomiędzy obywatelem a państwem, w tym również podmiotami uczestniczącymi w egzekwowaniu różnorakich obowiązków, jest informacją publiczną. To, że specyfikacja techniczna protokołu KSI MAIL może stanowić informację publiczną wynika z omawianej szerokiej definicji informacji publicznej, której treść została ustalona na mocy aktu normatywnego, stanowiącego przejaw swobody uprawnień ustawodawcy.

W konkluzji swojego stanowiska Sąd Rejonowy stwierdził, że uprawniony jest wniosek, zgodnie z którym ustawodawca nałożył na pozwanego obowiązek udostępnienia informacji o zastosowanym protokole. Realizacja tego obowiązku umożliwi implementację i zastosowanie ujawnionych elementów w programach, które od dnia wejścia w życie niektórych przepisów ustawy o informatyzacji podmiotów realizujących zadania publiczne staną się programami równoprawnymi programowi "Płatnik". Sąd Rejonowy wskazuje, że w oparciu o przepis art. 13 ust. 2 ustawy należy przyjąć, że publikacja informacji nt. protokołu komunikacyjnego jest równoznaczna z możliwością zastosowania tego protokołu w programie komputerowym, a więc wynika z tego obowiązek stosowania bądź to stosowania istniejących protokołów (które są publicznie dostępne), bądź też wraz z opublikowaniem innowacyjnego programu upublicznienie protokołu komunikacyjnego celem umożliwienia realizacji praw nadanych przez ustawę. Oznacza to również, że zastosowane protokoły, mimo iż udostępnione publicznie, powinny spełniać oczekiwane standardy bezpieczeństwa, niezbędne przy przesyłaniu danych. Pozwany Zakład zaś nie wykazał jakie zagrożenia dla działania systemu mogą wyniknąć z ujawnienia omawianego tu protokołu. Zdaniem sądu nie może być uznane za wystarczające ograniczenie się do stwierdzenia, że protokół KSI MAIL nie jest wyizolowaną aplikacją, a częścią systemu gromadzącego dane wrażliwe. Powołując się na odmowę z tej przyczyny Prezes Zakładu zobowiązany był wskazać argumentację, która pozwalałaby na sformułowanie kategorycznych wniosków co do istnienia wspomnianego zagrożenia. Odmowa dostępu jest bowiem wyjątkiem od generalnej zasady i argumentacja leżąca u jej podstaw musi nadawać się do weryfikacji oraz umożliwiać rzeczową polemikę w tym zakresie (jeśli nie przed prezesem ZUS, to przynajmniej przed sądem). ZUS jednak nie wykazał, że udostępnienie protokołu może w jakikolwiek sposób zakłócić działanie systemu, lub naruszać prawnie chronione dane płatników. Zaś z opinii biegłego w sposób czytelny wynikało, że samo narzędzie służące do komunikacji pomiędzy bazą danych ZUS a komputerem płatnika, nie stanowi wymaganej zasadami sztuki wystarczającej ochrony danych gromadzonych w bazie. To tym ważniejsze, że - jak można wnioskować, sposób ochrony danych płatników i całego systemu wynika nie tyle z użytej technologii, co z faktu szyfrowania informacji, do których dostęp można uzyskać jedynie przy pomocy skomplikowanego klucza kryptograficznego, opierającego się na stosownym algorytmie. Tym samym możliwość ochrony danych niezależnie od udostępnienia spornego protokołu wydaje się być niemalże nieograniczona. Zadanie protokołu KSI MAIL, którym jest przygotowanie i uwierzytelnienie przesyłanych dokumentów, nie powinno mieć zatem wpływu na możliwość dostępu do poszczególnych aplikacji lub części całej bazy systemu ZUS.

W ocenie Sądu Rejonowego pozwany Zakład nie wykazał, że sporny protokół objęty jest prawami autorskimi firmy PROKOM SOFTWARE, wobec nieprzedstawienia żadnej informacji o przyznaniu patentu, czy też o toczącym się postępowaniu w sprawie przyznania takiego patentu Sąd Rejonowy wnioskował, że patentu takiego nie było. Ja zaś dodam, że protokół komunikacyjny w polskim stanie prawa (ustawa Prawo własności przemysłowej) nie może być uznany za wynalazek, a zatem sąd mógłby się odnieść również do tego faktu idąc dalej niż to zrobił w swoim stanowisku, tj. sąd mógłby stwierdzić, że nawet gdyby patent na rozwiązanie informatyczne był przyznany to z racji generalnej niepatentowalności programów komputerowych, ich części, protokołów komunikacyjnych, etc, czy też metod biznesowych, algorytmów itp. - przyznany ewentualnie patent nie byłby prawidłowy. W każdym razie sąd uznał, że brak informacji na temat ochrony patentowej daje podstawy do wniosku, iż firma, która stworzyła program "Płatnik" wykorzystała w tym celu z narzędzi już istniejących i dostępnych, co jednak nie wykluczało możliwości pewnych modyfikacji. To istotne, bo jeśliby był to protokół dostępny, to jak żądać udostępnienia informacji. Modyfikacja zaś dostępnego protokołu (konkretna implementacja) może powodować, że powstaje prawo domagania się udostępnienia informacji na temat tej modyfikacji jako o informacji publicznej.

Sąd Rejonowy uznał też za chybiony należy uznać zarzut kolizji z normą art. 47a ust. 7 ustawy o systemie ubezpieczeń społecznych, gdyż adresatem wskazanej normy nie są strony, a organ władzy wykonawczej, zaś akt wykonawczy ma na celu ustalenie kryterium bezpiecznego przekazywania dokumentów.

Tyle Sąd Rejonowy. Od jego rozstrzygnięcia apelację złożył Zakład Ubezpieczeń Społecznych. Na poprzedniej rozprawie przed Sądem Okręgowym sąd postanowił uzupełnić postępowanie dowodowe poprzez wezwanie na rozprawę biegłego dr hab. Aleksandra Wittlina celem wyjaśnienia okoliczności przedstawionych w opinii pisemnej, jak również publikacji internetowej Pawła Hikierta.

Nawiązując do tego faktu przewodniczący Sądu Okręgowego odniósł się na dzisiejszej rozprawie do komentarza umieszczonego pod jednym z moich tekstów w serwisie VaGla.pl Prawo i Internet, a który dotyczył "obaw sądu o kasację" (celowo w cudzysłowie): "Po pierwsze to sąd się nie boi kasacji, bo w tej sprawie w ogóle kasacji nie ma, tak jak tam się wypowiadają w tym serwisie VaGla.pl, tak więc sąd się nie boi kasacji dopuszczając opinię biegłego; a w ogóle sąd jest mało strachliwy". Tak więc drodzy komentatorzy - weźcie całą sytuację pod uwagę (mam na myśli to, że sąd odnosi się do komentarzy w tym właśnie serwisie internetowym), gdy w przyszłości będziecie komentować.

A poza tym, sąd dopuścił uzupełniający dowód z opinii biegłego nie ze względu na kasację, a na to, że jednak apelacja - mimo wszystko - ten zarzut zgłosiła. Sąd wyjaśnił, że zarzut nie musi być wyegzemplifikowany sensu stricto w punktach kolejnych petitum apelacji, a może wynikać z samej treści uzasadnienia. A w przypadku apelacji ZUS już z pierwszego zdania ma wynikać, że strona pozwana ma wątpliwości: "dr hab. Aleksander Wittlin sporządził opinię powołując się na nieznanego pozwanemu...", a w piśmie procesowym pozwany uznał, że takie powołanie się na publikację internetową jest "czynnością bezprawną".

Sąd zatem postanowił wysłuchać biegłego sądowego Aleksandra Wittlina (który dziś jest już profesorem nadzwyczajnym na Uniwersytecie Kardynała Stefana Wyszyńskiego), który poparł swoją opinię złożoną na piśmie. Sąd zapytał kim jest Paweł Hikiert, którego w swojej opinii przywołał profesor. Profesor wyjaśnił zaś, że jest to po prostu informatyk, który dokonał reverse engineeringu, czyli odtworzył algorytm programu Płatnik na podstawie działania aplikacji. Bo Zakład Ubezpieczeń Społecznych dostarcza wszystkim "klientom" program w postaci gotowej do wykonania na ich komputerach. A więc odtworzył zasadę funkcjonowania aplikacji, która realizuje usługę KSI MAIL. "To jest technika, któa w kryptologii pojawia się dość regularnie. Wiele firm sprzedaje rozwiązanie informatyczne nie udostępniając kodu źródłowego. Natomiast dostęp do aplikacji wykonywanej przy dostatecznie dużym nakładzie pracy przez osoby posiadające odpowiednią wiedzę i narzędzia, umożliwia odtworzenie czegoś, co jest w zasadzie równoważne kodowi źródłowemu i umożliwia zrozumienie tego, w jaki sposób ta aplikacja funkcjonuje". Biegły potwierdził też, że nie udostępniono mu kodu źródłowego programu "Płatnik" ani specyfikacji protokołu. Padło też pytanie o przywołane wcześniej zdanie z orzeczenia Sądu Rejonowego na temat narzędzia i tego, że "narzędzie służące do komunikacji pomiędzy bazą danych ZUS a komputerem płatnika, nie stanowi wymaganej zasadami sztuki wystarczającej ochrony danych gromadzonych w bazie". Sąd Okręgowy chciał wiedzieć, czy to jest pełnoprawne stwierdzenie. Biegły zaś odpowiedział, że "to zależy". "Pytanie brzmi: co to znaczy "narzędzie". Narzędziem jest program KSI MAIL i w tym sensie on stanowi pewne zabezpieczenie... To jest tego typu pytanie, jak "czy listonosz stanowi dostatecznie bezpieczne narzędzie dostarczania poczty"". Biegły też powiedział, że nie potrafi powiedzieć jaki procent wkładu w gotową aplikację stanowi praca informatyków firmy PROKOM SOFTWARE w stosunku do rozwiązań dostępnych powszechnie. Biegły natomiast stwierdził, że program, który - wedle najlepszej wiedzy, wynikającej m.in. z tego co odtworzył p. Hikiert, ale nie tylko, bo na ten temat jest więcej informacji - stanowi podstawę działania KSI MAIL, a co - zdaniem biegłego - należy nawet uznać za zaletę tego rozwiązania - algorytm ten więc jest dosyć powszechnie używany do tego typu ochrony informacji. "Ten program - w innej nieco wersji - jest wbudowany do praktycznie wszystkich przeglądarek internetowych. Jest dostępny za darmo, jego twórca zaś od wielu lat udostępnia kolejne wersje tego programu bezpłatnie. Przez to, że ten program jest dostępny w postaci kodu źródłowego pracuje nad nim bardzo dużo ludzi, co pozwoliło wyłapać wiele problemów, błędów i usterek, a wyniku tego program jest coraz lepszy".

Pełnomocnik pozwanego zapytała: czy specyfikacja KSI MAIL to jest zwykły protokół komunikacyjny, łącznik między bazą (danych) a komputerem, czy też jest to integralna część całego systemu? Biegły zaś zapytał o definicję "integralnego systemu". Sąd poprosił o doprecyzowanie zauważając, że pozwany Zakład w apelacji poddał w wątpliwość pewne źródła, na które powołał się biegły. W odpowiedzi pełnomocnik ZUS stwierdziła: "jeżeli jest wyłączność ustawowa programu "Płatnik", to zdaniem ZUS podlega on ochronie autorskiej i wszelkie odtworzenia osób postronnych... To zatem czy to co zrobił p. Hikiert jest dozwolone prawem autorskim?" Na to biegły nie mógł odpowiedzieć, gdyż nie jest specjalistą od prawa autorskiego. Sąd też uznał, że to nie jest pytanie do biegłego. Na to włączył się pełnomocnik powoda z pytaniem: "czy to są normalnie przyjęte techniki inżynieryjne", sąd uchylił to pytanie uznając, że biegły to dostatecznie wyjaśnił, że są to powszechnie przyjęte techniki na całym świecie. I tak wyglądało przesłuchanie biegłego.

W dalszej części rozprawy sąd oddał głos stronom. Pełnomocnik pozwanego poparła apelację. W ustawie o informatyzacji podmiotów realizujących zadania publiczne Zakład Ubezpieczeń Społecznych otrzymał dwa lata od wejścia w życie ustawy na dostosowanie systemu informatycznego do jej wymogów, zatem - zdaniem pełnomocnika ZUS - dopiero z datą 21 lipca 2007 ZUS będzie zobligowany do udostępnienia protokołu.

Pełnomocnik powoda wygłosił dłuższe przemówienie, zaczynając od tego, że wniósł o oddalenie apelacji. Zdaniem pełnomocnika powoda apelacja oparta jest właściwie na tym, że zdaniem pozwanego Zakładu Sąd Rejonowy dopuścił się naruszenia przepisu ustawy o informatyzacji podmiotów realizujących zadania publiczne, który jeszcze nie wszedł w życie, przy czym apelacja nie wskazuje na czym to naruszenie miałoby polegać. Ustawa o informatyzacji reguluje zupełnie inny przedmiot niż ta materia, której dotyczy spór. Powód wniósł o udostępnienie informacji publicznej znacznie wcześniej, niż Sejm przyjął ustawę o informatyzacji, a swoje roszczenie oparł na ustawie o dostępie do informacji publicznej właśnie. Czym innym jest prawo dostępu do informacji publicznej (konstytucyjne prawo - zanim przyjęto ustawę o dostępie do informacji publicznej sądy orzekały na podstawie Konstytucji), a czym innym jest materia regulowana przez ustawę o informatyzacji. Dalej pełnomocnik Sergiusza Pawłowicza podniósł, że pozwany Zakład nie wykazał, że zaszły okoliczności uzasadniające odmowę udostępnienia informacji publicznej. Zakład nie wykazał istnienia żadnej z przesłanek, o których mowa w ustawie, a to na Zakładzie ciążył obowiązek wykazania okoliczności wyłączających możliwość udostępnienia informacji (art. 6 Kodeksu cywilnego). W odniesieniu do kwestii bezpieczeństwa systemu pełnomocnik odniósł się do swojego wniosku dowodowego z opinii biegłego. Mec. Kmieciak - jak stwierdził - wiedział jakie mogą być wnioski z takiej opinii, bo "to trochę tak, jakby podnosić, że ujawnienie alfabetu łacińskiego mogło spowodować ujawnienie tajnych, zaszyfrowanych danych". Jeśli zaś system byłby na tyle niebezpieczny, że ujawnienie protokołu powodowałoby ujawnienie danych, to momentalnie sprawą zainteresowałaby się departament informatyczny Agencji Bezpieczeństwa Wewnętrznego, "bo tak przygotowany system nie spełniałby elementarnych zasad sztuki inżynieryjnej tworzenia systemów teleinformatycznych". Dalej pełnomocnik powoda podniósł, że pełnomocnik pozwanego nie wykazał też, że protokół KSI MAIL jest w jakikolwiek sposób objęty prawami autorskimi firmy PROKOM SOFTWARE. Przypomniał, że złożono w aktach sprawy wyciąg z umowy między Zakładem a spółką, z której to umowy ma wynikać, że wszystko cokolwiek związane jest z systemem Zakładu Ubezpieczeń Społecznych objęte jest prawami autorskimi firmy PROKOM. Potem pełnomocnik "pozwolił sobie na uwagę", że mogłoby z tego wynikać, iż skoro za pomocą protokołu HTTP odbywa się transmisja, to "lwia część światowego internetu również winna być objęta prawem autorskim firmy PROKOM" (jeśli przyjąć postanowienia umowy między ZUS a spółką za wiążące w tym względzie). Zakład Ubezpieczeń Społecznych zatem nie wykazał przesłanek nieudostępnienia informacji publicznej. Co do zarzutów apelacji mec. Kmieciak stwierdził, że patrząc na wymienione tam kolejne artykuły ustawy o informatyzacji - "apelacja została przygotowana na zasadzie dowolnych skojarzeń". A chodziło mu o to, że w przywołanych przez pozwany Zakład przepisach chodzi zupełnie nie o to, o co chodzi w udostępnieniu informacji publicznej (udostępnienie programu przez ZUS, umożliwienie przebadania programów, które mają być stosowane do kontaktu z Zakładem w przyszłości, etc.). Dalej zadał pytanie - czy ustawa o informatyzacji w jakikolwiek sposób ograniczyła lub zawiesiła prawa obywateli do uzyskania informacji publicznej, a dotyczącej informatyzacji? I zaraz odpowiedział sam sobie: nie zawiesiła i nie mogła zawiesić. Dlatego mec. Kmieciak uznał, że zarzuty apelacji są bezpodstawne i wniósł o jej oddalenie.

Na tym rozprawa się zakończyła, a ogłoszenie wyroku nastąpiło po krótkiej naradzie:

"Wyrok w imieniu Rzeczypospolitej Polskiej, Sąd Okręgowy w Warszawie w składzie tu obecnym, po rozpoznaniu sprawy z powództwa Sergiusza Pawłowicza przeciwko Zakładowi Ubezpieczeń Społecznych w Warszawie o nakazanie, na skutek apelacji strony pozwanej od wyroku Sądu Rejonowego dla Warszawy Mokotowa z dnia 8 grudnia 2006 roku, sygn. akt XVI C 942/04, oddala apelację".

Sąd uznał, że okoliczności, które zostały sformułowane w apelacji dotyczą przepisów, które jeszcze nie obowiązują, "a niektóre nawet jeszcze bardzo długo nie będą obowiązywały". "Gdyby nie uzasadnienie apelacji, to literalne zarzuty w niej ujawnione powodować by mogły oddalenie apelacji wprost". Uzasadnienie apelacji poruszało jeszcze inne okoliczności, co prawda nie przedstawione w formie zarzutu, ale w takiej formie, z której treść zarzutu wynikała. Sąd Okręgowy stwierdził, że nie można Sądowi Rejonowemu zarzucić dowolności w swoich rozważaniach, a jedyne co można zarzucić, to faktycznie - "pytanie dlaczego ta sprawa tak długo trwała?". Uzasadnienie Sądu Rejonowego nie budzi żadnych zastrzeżeń Sądu Okręgowego, który przyjął w całości to uzasadnienie za swoje: istotnie - strona pozwana nie wykazała, że sporny protokół "nosi cechy nie wiadomo nawet jak zastrzeżone", by nie mógł być traktowany jak informacja publiczna. "I słusznie podniósł powód, że art. 61 Konstytucji RP, o czym przesądził już Sąd Najwyższy, stanowi samodzielną podstawę domagania się ujawnienia tajemnicy publicznej i nie trzeba było czekać na specjalny przepis, który zaraz światło dzienne ujrzał".

Od powyższego orzeczenia nie służy kasacja. "Gdyby kasacja służyła, to trzeba było stwierdzić nieważność postępowania. Gdyby to roszczenie było niematerialne, to by trzeba było orzec nieważność, bo by orzekał sąd niewłaściwy. Przyjmujemy, że chodzi o roszczenie materialne, a za pewne takie właśnie jest" - stwierdził przewodniczący w ustnym uzasadnieniu. Co więcej uznał też, że "te kategorie spraw, które podlegają pod sądownictwo powszechne mają swój walor majątkowy. Wartość zaskarżenia nas obliguje w takiej wysokości jak je wskazał skarżący. Wskazał 100 złotych, taką wartość przyjęliśmy. W związku z tym kasacji nie ma". Orzeczenie jest prawomocne i w żadnym toku instancji zaskarżeniu nie podlega.