Z historii prac nad Rejestrem Stron i Usług Niedozwolonych - posiedzenie z 3. grudnia 2009 r.

Chociaż nadal nie wiemy, kto wymyślił samą nazwę "Rejestr Stron i Usług Niedozwolonych", a sam "rejestr" wypadł z projektu Ministerstwa Finansów, to jednak warto odnotować "Rekomendację w zakresie technicznych aspektów realizacji zadań wynikających z art. 179a ustawy Prawo telekomunikacyjne zamieszczonych w projekcie ustawy o zmianie ustawy o grach hazardowych oraz niektórych innych ustaw jako wynik prac specjalnego zespołu Zadaniowego KRMIiŁ", który to dokument był przedmiotem 18. posiedzenia Komitetu Rady Ministrów ds. Informatyzacji i Łączności w dniu 3 grudnia 2009 r. Taka historyczna wstawka.

Materiały z tego posiedzenia można znaleźć na dedykowanej stronie Komitetu Rady Ministrów. Tam również jest załącznik: Rekomendacje Zespołu Zad. KRMIiŁ ds. zmian Pt (art. 179 a) zamieszczonych w projekcie ust. o zmianie ust. o grach hazardowych oraz niektórych innych ustaw (PDF). Warto - jak uważam - wnikliwie zapoznać się z tymi, historycznymi już, rekomendacjami. Być może ktoś jeszcze będzie chciał je wcielać w życie.

Oczywiście cały dokument jest istotny, ale poniżej tylko niektóre rekomendacje:

(...)
2. O ile można analizować stosunkowo szerokie doświadczenia innych krajów demokratycznych (takich jak Australia, Dania, Finlandia, Niemcy, Norwegia, Szwecja, Włochy, Wielka Brytania) z zakresie utrudniania dostępu do treści, zawierających pornografię dziecięcą w Sieci, o tyle zakres takiego utrudniania dostępu do treści związanych z hazardem elektronicznym jest znacznie węższy. Nie są znane przypadki ustawowego utrudniania dostępu do treści propagujących faszystowski lub inny totalitarny ustrój państwa. Nie udało się również prześledzić oświadczeń innych państw w zakresie zwalczania phishingu tą metodą.
(...)
4. Nie ma wątpliwości, że skuteczność blokowania nigdy nie osiągnie 100 % stron internetowych o treści uznanej za sprzeczną z prawem. Zasoby internetowe, których identyfikatory wpisane zostaną do „Rejestru Stron i Usług Niedozwolonych” będą bowiem dostępne przez sieć Internet (lub w ramach usług takich jak choćby usługi peer-to-peer) pod innymi identyfikatorami lub przy pomocy innej technologii (przykładowo w związku z istnieniem sieci anonimizujących, połączeń poprzez VPN, serwerów i usług proxy, mechanizmów zmiany adresów IP lub zmiany adresów URL, które eliminują dość skutecznie możliwość blokowania ze strony operatorów).
(...)
6. Nie należy rozważać – przynajmniej w obecnej chwili – problematyki blokowania usług świadczonych w ramach peer-to-peer czy w ramach gier z grupy massively multi-player online role playing game (MMORPG) typu: Second Life, Ethropia Universe itp.
(...)
8. Nie ma wątpliwości, że tak system teleinformatyczny obsługujący „Rejestr Stron i Usług Niedozwolonych”, jak również komunikacja pomiędzy uprawnionymi służbami i rejestrem oraz pomiędzy rejestrem a przedsiębiorcami telekomunikacyjnymi będą obiektem ataków hakerskich wszystkich możliwych typów (od ataków DoS i DDoS po próby modyfikacji lub usunięcia danych). Szczególną uwagę należy zwrócić na właściwe zabezpieczenie Rejestru oraz dróg komunikacji z nim. Na obowiązki z tego zakresu należy zwrócić uwagę przynajmniej w delegacji wynikającej z art. 179a ust. 9

9. W związku z rekomendacją 8 należy zauważyć, że zakres ataków hakerskich będzie wprost uzależniony od:

• zakresu regulacji art. 179a ust. 2 (im szerszy zakres merytoryczny tym większy krąg zainteresowanych w atakach oraz tym większy zakres
  „przyzwolenia społecznego” na dokonywanie takich ataków, szczególnie spoza granic Polski);
• zakresu jawności rejestru (im więcej danych jest jawnych, tym większa łatwość przygotowania i przeprowadzenia ataku).

10. Zamiast sformułowania „niezwłocznego blokowania dostępu do stron internetowych lub usług” należy w przepisie art. 179a ust. 3 użyć sformułowania „utrudniania dostępu do stron internetowych lub usług poprzez niezwłoczne blokowanie dostępu do adresów elektronicznych wpisanych do Rejestru Stron i Usług Niedozwolonych”.

11. Należy rozważyć wpisanie do ustawy szczegółowego określenia czasowego w art. 179a ust. 3 np. poprzez określenie „nie później niż w 6 godzin od udostępnienia przedsiębiorcy telekomunikacyjnemu danych umożliwiających blokowanie”.

12. Należy zwrócić uwagę na fakt, że istnieje wiele powszechnie dostępnych rozwiązań omijania blokowania dostępu do zasobów (np. ciągła zmiana adresu IP w sposób automatyczny, ciągła zmiana adresu domenowego). Z tego powodu, każde przyjęte rozwiązania techniczne mogą stać się mało skuteczne. Wymagany jest stały monitoring technik obejścia blokowania treści dokonywany przez podmiot odpowiedzialny za prowadzenie „Rejestru Stron i Usług Niedozwolonych”.
(...)
14. Istnieje pilna konieczność rozpoczęcia prac nad projektem rozporządzenia, do którego delegację zamieszczono w art. 179a ust. 9. Prace te powinny być prowadzone z udziałem środowiska naukowego i informatycznego oraz przy wykorzystaniu praktycznych rozwiązań zastosowanych w Danii, Finlandii, Niemczech, Norwegii, Szwecji, Wielkiej Brytanii i Włoszech, z ewentualnym odwołaniem do doświadczeń Australii.

15. Treść art. 179a ust. 4 należy przekształcić tak, by umożliwiała realizację zasady jawności wyłącznie przez dokonywanie zapytań o występowanie konkretnego adresu w bazie Rejestru. Nie jest bowiem wskazane, by dane dostępne były w całości dla wszystkich zainteresowanych na jednej liście. Należy jednocześnie rozszerzyć delegację w art. 179a ust. 9 o sposób udostępniania danych z Rejestru.

16. Należy zdawać sobie sprawę, że jawna część Rejestru będzie szczególnie narażona na ataki hakerskie wszystkich możliwych typów (od ataków DoS i DDoS po próby modyfikacji lub usunięcia danych). Przy wprowadzaniu rozwiązań technicznych dotyczących ujawniania danych z Rejestru na podstawie art. 179a ust. 4 należy zapewnić, by pytania kierowane były do repliki Rejestru.
(...)
18. Przy ustalaniu vacatio legis przepisów należy wziąć pod uwagę, że podmiot zobowiązany do prowadzenia Rejestru musi stworzyć nowy – nie istniejący w tej chwili Rejestr oraz obsługujący go system teleinformatyczny. Wymaga to nakładów finansowych i czasu uwzględniającego przepisy budżetowe oraz przepisy o zamówieniach publicznych.
(...)
21. Zespół zwraca uwagę na fakt, że utrudnianie dostępu do stron i usług może – np. w przypadku błędnego wpisu – rodzić odpowiedzialność odszkodowawczą po stronie uprawnionych podmiotów.

22. Wskazane jest ujęcie w ustawie (wzorem rozwiązań niemieckich) wyłączenia odpowiedzialności przedsiębiorców telekomunikacyjnych z tytułu roszczeń cywilnoprawnych wynikłych z poprawnego wykonania czynności blokowania.

23. Wskazane jest ujęcie w ustawie (wzorem rozwiązań niemieckich) przepisu dotyczącego obowiązkowego komunikatu o wstrzymaniu usługi (przynajmniej wobec usług świadczonych przy użyciu protokołu http://), przekazywanego przez przedsiębiorcę telekomunikacyjnego użytkownikowi sieci przy jednoczesnym podaniu podstawy prawnej i informacji o organie prowadzącym Rejestr.
(...)

To tylko niektóre z rekomendacji zespołu zadaniowego Komitetu Rady Ministrów Informatyzacji i Łączności ds. zmian do ustawy PT zamieszczonych w projekcie ustawy o zmianie ustawy o grach hazardowych oraz niektórych innych ustaw, o którego składzie osobowym sam dokument jednak milczy.