Polemika o (ne)zakonitosti dokaza iz šifrirane komunikacije

1. Istraga usmjerena prethodno prikupljenim podacima

Očit je napredak u području prekograničnog prikupljanja dokaza. Politička volja da se odluka tradicionalno prepuštena suverenitetu država preobrazi u pravno utemeljenu obvezu pružanja pravne pomoći ogledala se, najprije u Vijeću Europe, a zatim posebice u Europskoj uniji, u brojnim reformama nakon kojih su procesi koordinacije učinkovitiji, a zahtjevi i prepreke za pravnu pomoć su uklonjeni. Međutim, osnovni problem različitosti nacionalnih zakona o kaznenom postupku postoji i danas.¹ Slučaj Sky elliptic-curve cryptography (Sky ECC) je prvi primjer istrage usmjerene prethodno prikupljenim podacima (engl. data-driven investigation ²) o (kriptiranoj) elektroničkoj komunikaciji. Navedeni predmet predstavlja pionirski primjer javne rasprave i diskursa stručnjaka u pogledu načina prikupljanja dokaza za potrebe kaznenog postupka i ravnovjesja intruzivnih mjera kaznenog procesnog prava sa zaštitom temeljnih ljudskih prava. Data-driven investigation je novi oblik istrage koju oblikuju i usmjeravaju prikupljeni podaci.³

2. Operacija ANOM (Operation Trojan Shield )

Osnovno obilježje dotičnog slučaja jest namjenska distribucija modificiranih, kriptiranih mobitela s operacijskim sustavom Android osobama umiješanim u međunarodni⁴ organizirani kriminalitet, dakle vrlo specifično ciljano tržište⁵, prema procjeni od najmanje 9500 uređaja⁶. Usluga slanja poruka reklamirana je kao potpuno sigurna, ali zapravo su poruke bile pohranjene na serveru, poslužitelju kojim je upravljao američki FBI (engl. Federal Bureau of Investigation), na temelju nagodbe sklopljene s neimenovanom osobom⁷, u zamjenu za blažu kaznu povodom optuženja u predmetu Phantom Secure. FBI je zatim proslijedio prikupljene podatke drugim državama. Vrhovni sud Finske, odlučujući o prigovorima obrane optuženika da su dokazi pribavljeni nezakonitim sredstvima, budući da je presretanje predstavljalo povredu privatnosti i povjerljivosti komunikacije bez zakonskog ovlaštenja, odlučio je da uvrštavanje poruka u dokaze nije ugrozilo pravičnost suđenja te su stoga poruke proglašene dopuštenima, odnosno prihvaćene kao zakonit dokaz⁸. U sklopu operacije ANOM, američke su vlasti angažirale pomoć neimenovane države članice Europske unije, koja je prethodno prikupila šifrirane podatke iz ANOM komunikacije. Tijekom suđenja u Sjedinjenim Američkim Državama nekolicina branitelja zatražila je od suda da otkrije koja je neimenovana država pomogla FBI-ju u presretanju poruka slanih preko aplikacije ANOM.⁹ Donekle je razumljivo inzistiranje obrane u postupcima pred američkim sudovima, međutim, nije propisan mehanizam kojim je moguće prisiliti tijela kaznenog progona da odaju taj podatak. Dodatno treba uvažiti različitosti pravnih sustava i to gledano generalno, jer kontinentalni pravni sustav i anglosaksonski pravni krug nisu identični ni izbliza. U konačnici, budući da je (pravnu) pomoć u prikupljanju dokaza pružila država članica EU-a, kako je to naznačio SAD, onda nema mjesta takvom ili sličnom prigovoru u usporedivoj situaciji kada zahtjev postavi obrana okrivljenika u procesu pred bilo kojim nacionalnim sudom EU-a, s obzirom na to da je riječ o klasičnom slučaju međunarodne pravne pomoći i principu uzajamnog priznanja.

3. Presuda Suda EU-a u slučaju EncroChat

Recentno je Sud (veliko vijeće) u predmetu C-670/22, povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU-a, koji je uputio Landgericht Berlin (Zemaljski sud u Berlinu, Njemačka), odlukom od 19. listopada 2022., koju je Sud zaprimio 24. listopada 2022., u kaznenom postupku protiv M. N., odlučio: 1. članak 1. stavak 1. i članak 2. točku (c) Direktive 2014/41/EU Europskog parlamenta i Vijeća od 3. travnja 2014. o Europskom istražnom nalogu u kaznenim stvarima treba tumačiti na način da: europski istražni nalog radi prosljeđivanja dokaza koji su već u posjedu nadležnih tijela države izvršiteljice ne mora nužno donijeti sud kada bi na temelju prava države izdavateljice prvotno prikupljanje tih dokaza u isključivo nacionalnom postupku u državi izdavateljici morao naložiti sudac, ali je za prosljeđivanje navedenih dokaza nadležan javni tužitelj; 2. članak 6. stavak 1. Direktive 2014/41 treba tumačiti na način da mu se: ne protivi to da javni tužitelj donese europski istražni nalog radi prosljeđivanja dokaza koji su već u posjedu nadležnih tijela države izvršiteljice ako su ti dokazi pribavljeni time što su ta tijela na državnom području države izdavateljice presrela telekomunikacije svih korisnika mobilnih telefona pomoću kojih je moguća, zahvaljujući posebnom računalnom programu i izmijenjenom sklopovlju, šifrirana komunikacija s-kraja-na-kraj, pod uvjetom da se takvom odlukom poštuju svi uvjeti koji su pravom države izdavateljice, ovisno o slučaju, predviđeni za prosljeđivanje takvih dokaza u potpuno unutarnjoj situaciji u toj državi; 3. članak 31. Direktive 2014/41 treba tumačiti na način da je: mjera koja je povezana s prikrivenim pristupom terminalnim uređajima radi prikupljanja podataka o prometu, lokaciji i komunikacijama internetskog pružatelja komunikacijskih usluga „presretanje telekomunikacija” u smislu tog članka, o kojoj se mora obavijestiti tijelo koje je u tom pogledu odredila država članica na čijem se državnom području nalazi subjekt presretanja. U slučaju da država članica koja presreće ne može utvrditi nadležno tijelo obaviještene države članice, ta se obavijest može poslati bilo kojem tijelu obaviještene države članice koje država članica koja presreće smatra prikladnim; 4. članak 31. Direktive 2014/41 treba tumačiti na način da se: njime također nastoje zaštititi i prava korisnika na koje se odnosi mjera „presretanja telekomunikacija” u smislu tog članka; 5. članak 14. stavak 7. Direktive 2014/41 treba tumačiti na način da se njime: nacionalnom kaznenom sudu nalaže da u okviru kaznenog postupka pokrenutog protiv osobe osumnjičene za kaznena djela izdvoji informacije i dokaze ako se ta osoba ne može učinkovito očitovati o tim informacijama i dokazima, a oni mogu imati odlučujući utjecaj na ocjenu činjenica. Navedenom presudom kreirani su temelji za daljnje, buduće odluke o zakonitosti dokaza prikupljenih iz podataka šifrirane komunikacije. Odgovori na pitanja koja je postavio Zemaljski sud u Berlinu vrlo su važni, ali nije iznesen jednoznačan zaključak o neprijepornoj zakonitosti ili nezakonitosti dokaza pribavljenih na temelju presretanja (šifrirane) komunikacije.

4. Hash vrijednosti kao jamac neizmjenjivosti podataka – pitanje autentičnosti dokaza

Jedno od ključnih obilježja elektroničkih dokaza je njihova neizmjenjivost. Obrana okrivljenika nerijetko prigovara da nije zabilježena hash vrijednost podataka koji su prikupljeni u okviru kriminalističkog istraživanja zbog čega je i potencijalno informatičko vještačenje nevjerodostojno, jer je moglo doći do kompromitacije podataka. Hash vrijednosti (engl. Hash Values) iz Nizozemske u podacima korištenim u Sky ECC slučaju, gotovo beziznimno, odgovarale su hash vrijednostima u podacima prikupljenim i korištenim u Francuskoj¹⁰. Sadržaj datoteke obrađuje se pomoću kriptografskog algoritma i proizvodi se jedinstvena numerička vrijednost – hash vrijednost – koja identificira sadržaj datoteke. Ako se sadržaj na bilo koji način modificira, značajno će se promijeniti i hash vrijednost¹¹. Hash funkcija temeljni je alat koji se koristi u kibernetičkoj sigurnosti kako bi se osigurao integritet i sigurnost podataka. To postiže unosom (također poznatom kao poruka ili podatak) bilo koje duljine i proizvodnjom izlaza fiksne veličine, koji se naziva hash vrijednost ili hash kod. Igraju ključnu ulogu u osiguravanju sigurnosti podataka. Naširoko se koriste u digitalnim potpisima, koji pružaju način provjere autentičnosti i integriteta digitalnih dokumenata. U tom kontekstu, hash funkcija se koristi za generiranje hash vrijednosti dokumenta, a zatim se hash vrijednost šifrira pomoću privatnog ključa pošiljatelja. Šifrirana hash vrijednost, zajedno s dokumentom, se zatim šalje primatelju. Primatelj tada može dešifrirati šifriranu hash vrijednost pomoću javnog ključa pošiljatelja i usporediti je s hash vrijednošću izračunatom iz primljenog dokumenta. Ako se dvije vrijednosti raspršivanja podudaraju, to pruža snažan dokaz da dokument nije bio neovlašteno mijenjan tijekom prijenosa.¹² Na primjeru dekriptiranja komunikacije u predmetu Sky ECC vidimo da nema mjesta navedenom prigovoru, s obzirom na to da je hash vrijednost odgovarala vrijednosti prilikom prikupljanja, odnosno dekriptiranja podataka o sadržaju komunikacije preko kriptiranih uređaja. Tako postavljeni standard sigurnosti računalnih podataka osigurava integritet prikupljenih podataka i dokaznu vrijednost elektroničkih dokaza. Tehničko, odnosno informatičko vještačenje provodi se kako bi se osigurala pravičnost postupka. Međutim, dešifriranje sadržaja komunikacije preko bilo koje aplikacije ili platforme za kriptiranu komunikaciju nije vještačenje, nego proces razbijanja šifre i analiza podataka. Informatički vještaci raspolažu samo s materijalom kojeg analiziraju policijski službenici, tako da je policijska analiza zapravo preciznija i vjerodostojnija. Tako se kreira standard autentičnosti digitalnih dokaza, a kontrola od strane suda je moguća na temelju gore navedenih hash vrijednosti. Autentičnost dokaznog materijala pitanje je za dokazni postupak, ne pitanje od utjecaja na zakonitost pribavljenih dokaza.

5. Načelo uzajamnog priznavanja

Pravosudna suradnja u kaznenim stvarima u Uniji temelji se na načelu uzajamnog priznavanja presuda i sudskih odluka (čl. 82. st. 1. Ugovora o funkcioniranju Europske unije, Službeni list C 202/47 od 7. 6. 2016.). Identičnu odredbu nalazimo i u čl. 3. Zakona o pravosudnoj suradnji u kaznenim stvarima s državama članicama Europske unije („Narodne novine“ 91/10., 81/13., 124/13., 26/15., 102/17., 68/18., 70/19., 141/20., 18/24.). Načelo uzajamnog priznavanja stoga također doseže svoje granice političke i pravne prirode. Malo je vjerojatno da će vizija „europske slobode dokazivanja“, koja uključuje prihvatljivost i upotrebljivost dokaza prikupljenih na međunarodnoj razini u nacionalnim kaznenim postupcima, biti politički izvediva u bliskoj budućnosti. Do tada ostaju vrlo složena pitanja upotrebljivosti dokaza prema nacionalnom pravu. Najvjerojatnije će se povećati uloga prava pravne pomoći. Očit je napredak u području prekograničnog prikupljanja dokaza. Politička volja da se odluka tradicionalno prepuštena suverenitetu država preobrazi u pravno utemeljenu obvezu pružanja pravne pomoći ogledala se, najprije u Vijeću Europe, a zatim posebice u Europskoj uniji, u brojnim reformama: procesi koordinacije su učinkovitiji, a zahtjevi i prepreke za pravnu pomoć su uklonjeni. Međutim, osnovni problem različitosti nacionalnih zakona o kaznenom postupku postoji i danas.¹³

6. Pravo pravne pomoći

Barem djelomično, individualno-zaštitna funkcija ograničenja pravne pomoći postaje sve jasnija, što je od značaja za pitanje uporabljivosti dokaza - barem u njemačkom tumačenju - koje ne treba podcjenjivati. Pravo pravne pomoći stoga prerasta svoju dvodimenzionalnu ulogu, koja u obzir uzima samo interese državnog suvereniteta. Pravo pravne pomoći u svojoj se trodimenzionalnosti otvara predmetnoj osobi kao subjektu postupka i daje joj zaštitna prava, čije kršenje može biti temelj za zabranu uporabe dokaza. Na taj način samo pravo pravne pomoći suprotstavlja se tradicionalnom strahu da će individualna prava pasti u vodu u pravnoj pomoći i na taj način stvara prihvatljivost za njezin daljnji nastavak. Sudska praksa neće moći dugoročno ignorirati ovaj razvoj događaja.¹⁴ Činjenica jest da se okrivljeniku tijekom kaznenog postupka mora dati mogućnosti da preispita zakonitost prikupljenog dokaznog materijala. Nadležni sud ima zadaću u konačnici, ako prihvati zahtjev obrane, vagati je li došlo do povrede ljudskih prava odnosno prava obrane u fazi prikupljanja podataka iz elektroničke komunikacije.

7. Paralela s korištenjem obavještajnih podataka u kaznenom postupku

Svi zakoni moraju biti u skladu s tri glavna standarda ECHR-a i kriterijima poštenog suđenja. Svako pravno rješenje mora jamčiti da su (a) posebne mjere korištene samo kao posljednje sredstvo; (b) obrana je imala priliku ispitati dokaze i ispitati svjedoke; i (c) raspravni suci su bili u mogućnosti ispitati dokaze kako bi osigurali pošteno suđenje. U konačnici, bez obzira na mjere koje se provode radi zaštite svjedoka ili borbe protiv terorizma, odabrani model ni pod kojim okolnostima ne smije kršiti prava u kaznenom postupku.¹⁵ Potrebno je razlikovati i prikupljanje podataka obavještajnih zajednica i prikupljanje za potrebe vođenja kaznenog postupka, poglavito pravila o provođenju zakonom propisanih posebnih dokaznih radnji¹⁶. Većina zakona o kaznenom postupku koji se odnose na zakonitost dokaza prikupljenih obavještajnim radom naglašavaju način pribavljanja dokaza, a ne jesu li ti dokazi u interesu pravde. Prilikom izrade nacrta budućih zakonskih reformi, a u cilju zaštite javnog interesa i prava optužene osobe, zakonodavci bi prvenstveno trebali uzeti u obzir njemačku doktrinu „mjerenja ili balansiranja“ primjenom „testa proporcionalnosti“, koji prihvaća dokaze prikupljene od strane obavještajne službe u određenim situacijama, ali i osigurava dostatnu zaštitu ljudskih prava okrivljenika. Mogla bi se razviti različita rješenja koja bi omogućila primjenu testa razmjernosti i pomogla u utvrđivanju istine u kaznenom postupku proširenjem pravila o dopuštenim dokazima. U svakom slučaju, pravo na privatnost i pravo na samooptuživanje ne isključuje primjenu neovlaštenog presretanja komunikacija. Ova ljudska prava, široko priznata u suvremenim pravnim sustavima, ne uključuju opću zabranu koja bi spriječila da se određene izjave okrivljenika koriste protiv njih.¹⁷ U slučaju EncroChat francuske vlasti nisu obznanile sve detalje hakiranja uređaja preko kojih je vršena komunikacija, pozvavši se na nacionalnu sigurnost. Francuski procesni zakonik dopušta navedeno hakiranje, uz zahtjev da šifrirani podaci trebaju biti popraćeni (i) tehničkim informacijama koje omogućavaju njihovo razumijevanje i (ii) „potvrdom o točnosti“ (engl. veracity) osobe sa relevantnim tehničkim znanjem za potvrdu „izvornosti“ (engl. genuineness) prikupljenih podataka. Francuski ustavni sud je u odluci br. 2022-987 QPC¹⁸ od 8. travnja 2022. iznio stav da pozivanje na nacionalnu sigurnost nije protuustavno i da francuski kazneni procesni zakonik omogućava sudovima primjenu pravnih sredstava za uravnoteženje prava i interesa (obrane i optužbe). Nema razlike između pohrane elektroničkih podataka i podataka u prijenosu, slijedom čega ni preusmjeravanje ili blokiranje komunikacije nije nezakonito, jer su to tehnički preduvjeti za snimanje (prikupljanje) podataka i bez te radnje postojala je opasnost da administratori šifrirane komunikacije otkriju hakiranje istražitelja.¹⁹

8. O nezakonitosti elektroničkih dokaza

U promatranom slučaju referiranje na nezakonitost dokaza povezano je s odredbom čl. 10. st. 2. Zakona o kaznenom postupku („Narodne novine“ 152/08., 76/09., 80/11., 121/11., 91/12., 143/12., 56/13., 145/13., 152/14., 70/17., 126/19., 80/22., 36/24.; dalje u tekstu: ZKP), jer bi potencijalna nezakonitost izvirala iz pribavljanja dokaza povredom prava na nepovredivost osobnog i obiteljskog života. Načelo pravičnog postupka traži da kazneni proces sagledan kao cjelina bude pravičan za okrivljenika. „Sadržaj ustavnog prava zajamčenog člankom 29. stavkom 1. Ustava, ograničen je na postupovna jamstva pravičnog suđenja. Sukladno tome, ocjenjujući navode ustavne tužbe sa stajališta tog ustavnog prava, Ustavni sud ispituje eventualno postojanje povreda u postupcima pred sudovima i na temelju toga ocjenjuje je li postupak - razmatran kao jedinstvena cjelina - bio vođen na način koji je podnositelju osigurao pravično suđenje.“²⁰ Nezakoniti dokazi ne smiju se izvoditi, upotrijebiti prilikom donošenja odluke²¹. Pravo na nepovredivost osobnog i obiteljskog života, doma i dopisivanja propisano čl. 8. 1. (Europske) Konvencije za zaštitu ljudskih prava i temeljnih sloboda („Narodne novine - Međunarodni ugovori“ br. 18/97., 6/99., 14/02., 13/03., 9/05., 1/06., 2/10., 13/17.) u dijelu zaštite privatnosti komunikacije, očigledno gubi trku sa interesom države, javne vlasti za otkrivanjem kaznenih djela i sankcioniranjem počinitelja. Način prikupljanja dokaza u slučaju ANOM rezultat je lukavstva FBI-ja, dok u slučaju EncroChat i SkyECC možemo reći da je rezultat lažne sigurnosti počinitelja kaznenih djela, jer su bili uvjereni da plaćanjem pretplate mogu bezbrižno koristiti aplikaciju, odnosno uređaj, da sadržaj komunikacije ne može i neće biti otkriven. Hrvatsko procesno pravo poznaje mogućnost ili institut prenošenja dokaza iz jednog u drugi kazneni postupak.

Zaključak

Zajedničko obilježje sva tri proučavana slučaja povezana s pribavljanjem podataka iz šifrirane ili kriptirane komunikacije za potrebe kaznenog postupka jest prosljeđivanje podataka drugim državama radi provođenja kaznenog postupka. Stoga govorimo o istragama usmjerenim prethodno prikupljenim podacima. Nesporno, novi model suvremene kaznene istrage, s odmakom od arhaičnog stava da stupanj sumnje na početku istrage mora biti identičan stupnju sumnje na njenom završetku. Ne bez razloga, primjerice, hrvatski model istrage u tom dijelu izaziva čuđenje, jer kod nas istraga započinje osnovanom sumnjom da bi bila okončana s identičnim stupnjem, osnovanom sumnjom. Redikulozno i poražavajuće za pravni sustav i zakonski okvir. Neophodno je razlikovati prikupljanje od pribavljanja elektroničkih dokaza. Prikupljanje obuhvaća sve zahvate u komunikaciju (presretanje, hakiranje, snimanje i dr.), čime izravno zadire u temeljna ljudska prava, dok pribavljanje znači isključivo da je ovlašteni progonitelj, državni odvjetnik odnosno javni tužitelj, priskrbio dokazni materijal koji je prethodno bio prikupljen. Današnji kriminalitet uvelike se zasniva na korištenju informacijsko-komunikacijskih tehnologija i snažno je obilježen prekograničnim elementom. U odluci Suda EU-a broj C-670/22 u predmetu EncroChat pojašnjeni su uvjeti za prijenos (pribavljanje) elektroničkih dokaza kod kaznenih djela s prekograničnim elementom. Europskim istražnim nalogom pribavljeni su dokazi koji su se nalazili u posjedu države izvršiteljice i na taj način država izdavatelj ne može dovoditi u pitanje zakonitost mjera kojima su dokazi prikupljeni. Nalog za provođenje inicijalne istražne radnje na području druge države članice EU-a izdan je zbog sumnje na počinjenje kaznenog djela koje nesumnjivo odgovara kaznenom djelu počinjenom u sastavu zločinačkog udruženja i sama radnja nesumnjivo odgovara posebnoj dokaznoj radnji presretanja, prikupljanja i  snimanja računalnih podataka. Izražajan je utjecaj međunarodne pravne suradnje u kaznenim stvarima, zbog čega je prijeko potrebno definirati pravo prvenstva prilikom izvršavanja zahtjeva za pravnu pomoć i korištenja rezultata prava pravne pomoći od uskogrudnog principa zaštite privatnosti u okvirima kaznenog postupka. Načelo uzajamnog priznanja očigledno je preuzelo primat nad pravom privatnosti. Uostalom, zaključak da se pojedinac odriče prava na privatnost čim kroči u bespuća internetskog prostora nije od jučer, izražen je u sudskim odlukama i prema dostupnim spoznajama još nije korigiran. Okrivljeniku se mora, radi realizacije prava na pravično suđenje, omogućiti aktivno sudjelovanje u procesu, promatranom kao cjelina. Nema čarobnog štapića za kreiranje uniformnog odgovora je li određeni dokazni materijal procesno zakonit dokaz ili ne. Sudovi konačno moraju preuzeti izvršavanje uloge koja im slovom ustava i zakona pripada – stvaratelja prakse. Nitko ne traži da ta praksa bude savršena, jer takva niti ne postoji. Hrvatski kazneni sudovi moraju zauzeti stav predstavlja li dokazni materijal pribavljen iz šifrirane komunikacije zakonite dokaze i prepustiti zubu vremena da odluči je li zauzet stav održiv ili neodrživ. Kazneno procesno pravo dužno je usvojiti pristup prihvatljivosti dokaza prikupljenih na području nadležnosti jedne države članice Europske unije i dostavljenih zainteresiranim drugim članicama te razviti mehanizam koji ne zabranjuje korištenje nakon pribavljanja takvih dokaza na sudu, kao zakonitih dokaza.

dr. sc. Bruno Moslavac, zamjenik županijskog državnog odvjetnika u Županijskom državnom odvjetništvu u Bjelovaru, Kazneni odjel

Ovaj rad izrađen je sukladno odredbi čl. 101. st. 1. Zakona o državnom odvjetništvu („Narodne novine“ 67/18., 21/22.). Svi stavovi i mišljenja izneseni u radu su isključivo stavovi i mišljenja autora i ni na koji način ne predstavljaju stavove i mišljenja pravosudnog tijela u kojem je autor zaposlen, niti to jesu.