W poniedziałek 12 października sejmowa komisja śledcza do spraw Pegasusa przedstawiła jawną część swojego raportu, a tego samego dnia Prokuratura Krajowa opublikowała wnioski z opinii biegłych. Obie instytucje doszły do tego samego miejsca: państwo polskie kupiło system, nad którym nie miało pełnej kontroli, i nikt przed zakupem nie sprawdził, kto jeszcze może do niego zajrzeć. Piszę o tym na stronie kampanii dotyczącej Palantira, ponieważ dokładnie to samo pytanie od miesięcy zadajemy Ministerstwu Obrony Narodowej i dokładnie tak samo nikt nie potrafi na nie odpowiedzieć.
Co ustaliła komisja i prokuratura
Według relacji z prezentacji raportu komisja ustaliła, że „producent miał także techniczne możliwości dostępu do informacji pozyskiwanych przez polskie służby”, a kontrola nad niektórymi elementami systemu była sprawowana po stronie izraelskiego producenta, a nie w Warszawie. Przewodnicząca komisji Magdalena Sroka mówiła, że Pegasus „nie działał lokalnie w serwerowni CBA”, tylko przez sieć anonimizującą producenta, i że producent miał techniczną możliwość odcięcia służb od systemu. O odebraniu licencji w 2022 roku powiedziała, że to „definicja odebrania suwerenności operacyjnej”.
Prokuratura Krajowa, powołując się na opinie biegłych z ABW, podała, że Centralne Biuro Antykorupcyjne nie miało pełnej kontroli nad systemem, że „dane przesyłane przez system opuszczały terytorium Polski” i że producent mógł uzyskać dostęp do infrastruktury z materiałami z kontroli operacyjnych. Prokuratura zastrzega przy tym, że biegli nie ustalili, czy producent po konkretne materiały faktycznie sięgnął. Według opinii odczytanej przez przewodniczącą komisji CBA nie miało nawet haseł do części kont administracyjnych, a moduł infekujący telefony pozostawał pod wyłączną kontrolą producenta.
Premier Donald Tusk powiedział, że „kontrola pozostawała w rękach Izraela i firmy izraelskiej”, i nazwał sprawę zbrodnią stanu. Poseł Jacek Zembaczyński ujął to krócej, mówiąc w RMF24, że Pegasus był „bronią na cudzej smyczy”. Z danych przedstawionych w 2024 roku przez ówczesnego Prokuratora Generalnego wynika, że w latach 2017–2022 Pegasusem objęto 578 osób, wśród nich polityków opozycji, prawników i prokuratorów.
Zanim kupiono, nikt nie sprawdził
Najważniejsze dla nas jest to, co wydarzyło się, a raczej czego zabrakło, przed zakupem. Prokuratura postawiła byłym szefom ABW i SKW zarzuty dopuszczenia do użycia systemu, który nie miał wymaganej akredytacji bezpieczeństwa, oraz zaniechania sprawdzenia, czy spełnia on wymogi ochrony informacji niejawnych. Zarzuty nie są wyrokiem i o winie rozstrzygnie sąd. Komisja ustaliła jednak, że Pegasus akredytacji nigdy nie otrzymał, a według jej przewodniczącej już na początku 2017 roku szef ABW ostrzegał, że zakup grozi ujawnieniem zainteresowań operacyjnych służb. W korespondencji z pośrednikiem, opisanej wcześniej przez RMF24, CBA pisało, że „bardziej zależy nam na czasie”.
Czego nie twierdzimy
Palantir nie jest oprogramowaniem szpiegującym, a Maven Smart System, który testowało polskie wojsko, nie włamuje się do telefonów. Nie twierdzimy też, że ktokolwiek zamierza używać go wobec polityków czy dziennikarzy. Porównujemy co innego: sposób, w jaki państwo kupuje obce systemy przetwarzające jego najbardziej wrażliwe dane, i to, czy przed podpisem ktoś sprawdza, kto poza nami będzie miał do nich dostęp.
Ten sam schemat przy Palantirze
Od grudnia 2024 roku obowiązuje bezterminowe memorandum dowództwa cyberwojsk z Palantirem o praktycznym testowaniu oprogramowania firmy, którego załącznik określający zakres prac jest niejawny. W październiku 2025 roku minister obrony podpisał list intencyjny, w którym pada już nazwa produktu, Maven Smart System Poland, a jako przedmiot współpracy wymienione są licencja, wdrożenie i długoletnie wsparcie. Tymczasem Agencja Bezpieczeństwa Wewnętrznego poinformowała dziennikarzy TVN24+, że od grudnia 2023 roku nie przygotowała ani nie otrzymała żadnej oceny ryzyka dotyczącej Palantira i że nikt z ministerstwa obrony ani z kancelarii premiera o nią nie wystąpił.
Pytania, których przy Pegasusie nikt nie zadał, przy Palantirze są równie aktualne. Standardowe warunki korzystania z usług firmy dopuszczają ujawnienie danych klienta na podstawie wiążącego nakazu organu, z powiadomieniem klienta tylko w zakresie, w jakim pozwala na to prawo, a sama spółka podlega jurysdykcji Stanów Zjednoczonych. Szwajcarski Sztab Armii w ocenie z grudnia 2024 roku napisał, że przy tej firmie istnieje możliwość wglądu amerykańskiego rządu i służb we wrażliwe dane, i zalecił rezygnację z jej rozwiązań. Urząd Ochrony Danych Osobowych odpisał nam we wrześniu, że wobec danych przetwarzanych przez wojsko „w istniejącym stanie prawnym nie mógłby podjąć działań”, a nie znamy innego niezależnego organu, który patrzyłby, co dzieje się z tymi danymi.
Na ten związek zwrócił uwagę także Wojciech Klicki z Fundacji Panoptykon, który w komentarzu do raportu komisji przypomniał o lekcji z Pegasusa „w kontekście rosnącej współpracy z firmą Palantir, którą intensyfikuje właśnie MON”.
Ten sam standard dla każdej władzy
Pegasusa kupił poprzedni rząd, a list intencyjny z Palantirem podpisał obecny. Nie chodzi więc o to, która partia jest winna, tylko o to, że w polskim państwie wciąż nie ma zasady, która zatrzymałaby jakąkolwiek władzę przed zakupem obcego systemu bez sprawdzenia, kto może do niego zajrzeć i kto może go wyłączyć. Skoro premier nazywa oddanie kontroli nad systemem zagranicznej firmie zbrodnią stanu, to prosimy tylko o jedno: żeby ten sam standard zastosował jego rząd, zanim minister obrony podpisze wiążącą umowę z Palantirem.
Co robimy
Kończymy wniosek do Najwyższej Izby Kontroli o przeprowadzenie kontroli współpracy Ministerstwa Obrony Narodowej i dowództwa cyberwojsk z Palantirem, zanim zapadnie decyzja o umowie. W tym tygodniu wysyłamy do Ministra Obrony Narodowej wniosek, w którym prosimy o potwierdzenie, że resort nie podpisze żadnej wiążącej umowy bez udokumentowanej oceny ryzyka, opinii Służby Kontrwywiadu Wojskowego i akredytacji bezpieczeństwa systemu, czyli dokładnie tego, czego zabrakło przy Pegasusie. Równolegle wysyłamy kilkanaście wniosków o informację publiczną do wojska, służb i ministerstw, a do Urzędu Ochrony Danych Osobowych i Rzeczniczki Praw Obywatelskich piszemy w sprawie braku niezależnego nadzoru nad danymi przetwarzanymi przez wojsko.
W ostatnich tygodniach spotkaliśmy się też z Fundacją Panoptykon, która jest zaniepokojona tą sprawą tak jak my i będzie wspierała nas merytorycznie.
Przy Pegasusie prawdę poznaliśmy po latach, z raportu komisji śledczej i z zarzutów prokuratury. Przy Palantirze mamy jeszcze szansę zadać te pytania przed podpisem, a nie po nim.
