Kopiowanie serwera danych w toku kontroli przedsiębiorcy. Czy są ku temu odpowiednie podstawy prawne?

Czynności te bardzo mocno ingerują nie tylko w bieżącą działalność przedsiębiorstw (de facto blokując ją lub ograniczając przez pewien czas), ale przede wszystkim w ich wolności i prawa, w tym prawo do obrony. W wyniku skopiowania całego serwera danych przedsiębiorcy Urząd uzyskuje bowiem dostęp nie tylko do dokumentów i materiałów objętych zakresem przedmiotowym postępowania wyjaśniającego (to w jego toku z reguły mają miejsce kontrole i przeszukania), ale również do dokumentów i materiałów, które często zdecydowanie wykraczają poza ten zakres (dotyczą np. innych produktów czy okresu nieobjętego dochodzeniem). Dodatkowo przepisy prawne, w oparciu o które dochodzi do kopiowania serwerów przedsiębiorców, zawarte w przepisach art. 105a-105q ustawy o ochronie konkurencji i konsumentów („ustawa”) są bardzo niejasne. Dlatego też warto zastanowić się, czy istnieje w ustawie wyraźna i wystarczająca podstawa prawna:

• do żądania przez Urząd od kontrolowanego przedsiębiorcy kopiowania we własnym zakresie (dla kontrolujących) całości danych z serwera tego przedsiębiorcy

lub

• przyznająca Prezesowi UOKiK kompetencję do samodzielnego (tj. przez kontrolujących czy przeszukujących) kopiowania w toku kontroli lub przeszukania całości danych zawartych na serwerze kontrolowanego przedsiębiorcy?

Odpowiadając na pierwsze pytanie – nie sposób nie zauważyć, że przepisy art. 105b ust. 1 pkt 2-4, art. 105d ust. 3-4 oraz art. 105e ust. 1 pkt. 1 ustawy, dotyczące obowiązków kontrolowanego i uprawnień kontrolujących, wyraźnie stanowią o udostępnianiu, wydawaniu lub umożliwieniu (przez kontrolowanego) dostępu (dla kontrolujących) do informatycznych nośników danych, o sporządzaniu z nich „notatek” przez kontrolujących oraz o sporządzaniu we własnym zakresie kopii lub wydruków materiałów lub korespondencji, o których mowa w art. 105b ust. 1 pkt 2 ustawy. Nakładają one tym samym na kontrolowanego obowiązek pozytywnego współdziałania z kontrolującymi i umożliwienia im dostępu do informatycznych nośników danych, urządzeń lub systemów informatycznych. Trudno jednak z tych przepisów wywodzić obowiązek kontrolowanego do kopiowania we własnym zakresie informacji zgromadzonych na serwerach danych. O ile nie można kwestionować obowiązku sporządzania we własnym zakresie przez kontrolowanego wydruków informacji zgromadzonych na innych niż serwery nośnikach czy urządzeniach (np. zawartości skrzynek poczty elektronicznej), o tyle nałożenie na kontrolowanego również obowiązku sporządzania (we własnym zakresie) kopii całości swojego albo cudzego serwera (jeśli podmiot trzeci udostępnia serwery kontrolowanemu przedsiębiorcy) jest nadmierne i zdecydowanie zbyt daleko posunięte. Teza ta wynika z faktu, że:

• kontrolowany nie musi być przecież właścicielem systemów, na których mogą znajdować się żądane przez kontrolujących informacje (problem „danych w chmurach”) i może zwyczajnie nie mieć do nich dostępu;
• kopiowanie serwera wymaga specjalistycznego sprzętu informatycznego, który musi gwarantować, że materiały ze skopiowanego serwera będą mogły stanowić dowody w toku postępowania antymonopolowego (a kontrolowany przedsiębiorca z reguły nie dysponuje tego typu sprzętem);
• kopiowanie serwera jest operacją, która może trwać kilka dni. Dlatego też organy antymonopolowe z innych państw członkowskich czy Komisja Europejska w toku kontroli generalnie we własnym zakresie (przy pomocy własnych informatyków i własnego sprzętu) kopiują serwery i nie wymagają od kontrolowanego przedsiębiorcy dokonywania takich czynności. Kontrolowany co najwyżej ma umożliwić organowi skopiowanie serwera.

Zatem jeśli Prezes Urzędu chciałby w toku kontroli uzyskać kopię serwera kontrolowanego przedsiębiorcy, to powinien to zrobić we własnym zakresie i za pomocą własnych środków i sprzętu. Kontrolowany natomiast powinien mu to umożliwić w ramach obowiązku pozytywnego współdziałania i obowiązku umożliwienia dostępu do informatycznych nośników danych, urządzeń lub systemów informatycznych.
W powyższym kontekście – odpowiadając jednocześnie na drugie z zadanych pytań – należy jednak zauważyć, że przepisy art. 105b ust. 1 pkt 2-4, art. 105d ust. 1 pkt 3-4 oraz art. 105e ust. 1 pkt. 1 ustawy nie stanowią także wystarczającej ani tym bardziej wyraźnej podstawy prawnej (nie dają takiej kompetencji) do kopiowania przez kontrolujących – w toku kontroli – informatycznych nośników danych, tj. serwerów danych. W przeciwieństwie do:

• wprowadzonego do Ustawy (nowelizacją z 10 czerwca 2014 r.) przepisu art. 105o, który w toku przeszukania, o którym mowa w art. 105n, przyznaje przeszukującemu wyraźne prawo do sporządzania kopii informacji zgromadzonych na nośnikach, w urządzeniach lub w systemach (o których mowa w przepisie art. 105b ust. 1 pkt 2) oraz
• rozporządzenia nr 1/2003, które w art. 20 ust. 2 lit. c stanowi, że Komisja może „pobrać lub uzyskiwać w każdej formie kopie lub wyciągi z ksiąg lub rejestrów” (to take or obtain in any form copies of or extracts from such books or records),

przepisy Ustawy odnoszące się do kontroli stanowią jedynie o „żądaniu udostępnienia dostępu” (art. 105b ust 1 pkt 2), "udostępnieniu i wydaniu materiałów" (art. 105d ust. 1 pkt 3), „umożliwieniu dostępu do…” (art. 105d ust. 1 pkt 4), „sporządzaniu notatek” (art. 105b ust. 1 pkt 3). Trudno zakwalifikować kopiowanie serwera jako sporządzanie z niego notatek.
Wydaje się więc, że w obecnym stanie prawnym jedyną podstawę do pobrania przez kontrolujących kopii serwera w toku kontroli, w tym serwera danych, może stanowić ewentualnie przepis art. 105e ust. 1 Ustawy, w którym ustawodawca poprzez użycie wyrażenia „w szczególności" zdaje się dopuszczać inne warunki i środki niezbędne do sprawnego przeprowadzenia kontroli, które kontrolowany zapewnia kontrolującym oraz osobom upoważnionym do udziału w kontroli. Prezes UOKiK mógłby więc próbować argumentować, że – w myśl art. 105e ust. 1 Ustawy – kontrolowany powinien zapewnić możliwość uzyskania przez kontrolujących (w ich własnym zakresie) kopii serwera należącego do kontrolowanego lub udostępnić swój serwer w celu wykonania jego kopii przez kontrolujących. Należy jednak stwierdzić, że taka podstawa do uzyskania kopii serwera przez kontrolujących jest raczej niewystarczająca. Tego typu kompetencja organu powinna wyraźnie wynikać z przepisów ustawy. Nie może być ona dopowiadana czy dorozumiana (w tym poprzez analogiczne stosowanie do kontroli przepisu art. 105o odnoszącego się wyraźnie do przeszukania).

Szerzej na ten temat zob. komentarz do art. 105e ustawy.