Ujawniam wszystkie sekrety Pegasusa

W poniedziałek 12 października 2026 r. Prokuratura Krajowa opublikowała odtajnione fragmenty opinii biegłych ABW o systemie Pegasus. Wynika z nich, że CBA nie miało pełnej kontroli nad systemem, że moduł serwera infekującego telefony pozostawał pod wyłączną kontrolą producenta, a dane z kontroli operacyjnych opuszczały Polskę przez sieć anonimizującą zarządzaną przez NSO Group. Tego samego dnia sejmowa komisja śledcza przedstawiła jawną część raportu i zawiadomienia wobec 11 osób, a premier nazwał sprawę „zbrodnią stanu”.

Dla kogoś, kto śledził proces WhatsApp v. NSO Group w Kalifornii, żadna z tych informacji nie była nowa. Amerykański sąd federalny gromadził je w jawnych aktach od lat: najpierw jako twierdzenia pozwu z października 2019 r., potem jako zeznania i odtajnione pisma z listopada 2024 r., wreszcie jako ustalenia sędziego w wyroku częściowym z 20 grudnia 2024 r. Polski spór o legalność Pegasusa, toczony od grudnia 2021 r., był sporem o narzędzie, którego instrukcji obsługi nikt z uczestników nie czytał. Nie czytali jej politycy, którzy najpierw zaprzeczali istnieniu systemu, a potem bronili jego zakupu. Nie czytali jej sędziowie wydający zgody na kontrolę operacyjną. Nie czytał jej, jak się okaże niżej, nawet sąd, który jako pierwszy w Polsce próbował ocenić dowód z Pegasusa. W tym czasie w sądzie dla Północnego Dystryktu Kalifornii mechanizm Pegasusa został rozebrany na części: nazwy wektorów instalacji, rola serwerów producenta i udział klienta sprowadzony do wpisania numeru telefonu.

Pięć lat polskiego sporu o Pegasusa a nikt nie zna instrukcji obsługi

O tym, że CBA kupiło coś drogiego, Polska dowiedziała się we wrześniu 2018 r., gdy kontrolerzy NIK natrafili na fakturę za „środki techniki specjalnej” na ponad 33 mln zł, a dziennikarze zaczęli zgadywać, co kupiono. O tym, kogo inwigilowano, dowiedziała się 3 lata później, i to nie z dokumentów, lecz z badań kryminalistycznych. W grudniu 2021 r. Citizen Lab z Uniwersytetu w Toronto ustaliło, że telefon senatora Krzysztofa Brejzy, wówczas szefa kampanii wyborczej opozycji, był atakowany Pegasusem 33 razy między 26 kwietnia a 23 października 2019 r. Podobne ślady znaleziono u adwokata Romana Giertycha i prokurator Ewy Wrzosek.

Reakcja władzy była sekwencją zaprzeczeń i zmian stanowiska. Pod koniec grudnia 2021 r. wiceminister obrony oświadczył, że system Pegasus nie jest w posiadaniu polskich służb. 7 stycznia 2022 r. prezes PiS Jarosław Kaczyński w wywiadzie dla tygodnika „Sieci” potwierdził zakup i bronił go jednym zdaniem: źle by było, gdyby polskie służby nie miały tego typu narzędzia. Premier zapewniał, że wszystkie działania operacyjne odbywały się za zgodą sądów.

Zgoda sądu była w tej debacie argumentem koronnym. Problem w tym, że sąd nie wiedział, na co się zgadza. Podczas sejmowej debaty 14 stycznia 2022 r. sędzia Piotr Gąciarek przyznał, że sąd rozpatrujący wniosek o kontrolę operacyjną nie ma wiedzy, jakiego systemu zamierzają użyć służby. 4 lata później przewodnicząca komisji śledczej powtórzyła to samo: sędziowie, którzy wydawali zgody, nie mieli pełnej wiedzy o możliwościach systemu.

Kolejne instytucje dokładały ustalenia, ale wciąż z zewnątrz. Senacka komisja nadzwyczajna w raporcie końcowym z 6 września 2023 r. uznała, że Pegasus nie jest narzędziem operacyjnym, lecz bronią cybernetyczną, a jego używanie w Polsce jest nielegalne. W kwietniu 2024 r. prokurator generalny poinformował Sejm, że w latach od 2017 do 2022 kontrola operacyjna z użyciem Pegasusa objęła 578 osób: 6 w 2017 r., 100 w 2018 r., 140 w 2019 r., 161 w 2020 r., 162 w 2021 r. i 9 w 2022 r. Używały go 3 służby: CBA, ABW i SKW. 28 maja 2024 r. Europejski Trybunał Praw Człowieka w sprawie Pietrzak i Bychawska-Siniarska i inni przeciwko Polsce orzekł, że polski model kontroli operacyjnej nie zawiera wystarczających gwarancji przed nadużyciami.

Nawet najnowsza reakcja ustawodawcy omija narzędzie. Ustawa z 4 września 2026 r. o wzmocnieniu nadzoru sądowego nad kontrolą operacyjną, podpisana 25 września, daje sądowi prawo żądania informacji o przebiegu kontroli i jej przerwania. Fundacja Panoptykon zwraca jednak uwagę, że przepisy pisano z myślą o tradycyjnym podsłuchu, a wykorzystanie oprogramowania szpiegującego pozostaje poza kontrolą sądów. Prezes UODO dodał, że projekt w zasadniczej części nie wykonuje wyroku ETPC, bo nie przewiduje informowania osoby inwigilowanej po zakończeniu kontroli.

Wspólny mianownik tych 5 lat jest następujący: wiedza o tym, jak Pegasus działa, była w Polsce informacją niejawną. Opinie biegłych ABW, sporządzone na zlecenie prokuratury, miały klauzulę „ściśle tajne” aż do zarządzenia Prokuratora Generalnego z 26 sierpnia 2026 r. Debata publiczna karmiła się pracami Citizen Lab, Amnesty International i Panoptykonu oraz materiałami marketingowymi producenta. Tymczasem po drugiej stronie Atlantyku ten sam system opisywano w jawnych aktach sądowych.

Wszystkie informacje o Pegasusie, które są „tajne” w Polsce, można znaleźć online w aktach sprawy sądowej w Kalifornii

29 października 2019 r. WhatsApp i Facebook pozwały NSO Group Technologies i Q Cyber Technologies przed sąd federalny dla Północnego Dystryktu Kalifornii (sprawa nr 4:19-cv-07123). Podstawą były Computer Fraud and Abuse Act, kalifornijski Comprehensive Computer Data Access and Fraud Act i naruszenie regulaminu usługi. Pozew opisał atak z przełomu kwietnia i maja 2019 r. na około 1 400 urządzeń, w tym telefony prawników, dziennikarzy, dyplomatów i działaczy praw człowieka.

NSO broniło się najpierw immunitetem suwerennym: skoro Pegasus kupują rządy, firma działa jako ich agent. Sąd apelacyjny dla Dziewiątego Okręgu odrzucił tę konstrukcję 8 listopada 2021 r., stwierdzając, że immunitet suwerenny przysługuje suwerenom i podmiotom wskazanym w ustawie FSIA, a prywatna spółka nie staje się organem państwa przez to, że sprzedaje mu narzędzia. Sąd Najwyższy USA odmówił rozpoznania skargi w styczniu 2023 r.

Potem zaczęło się to, czego polskie postępowania nigdy nie uzyskały: discovery. W lutym 2024 r. sędzia Phyllis Hamilton nakazała NSO ujawnić kod oprogramowania za okres od 29 kwietnia 2018 r. do 10 maja 2020 r. oraz informacje o pełnej funkcjonalności systemu. NSO zaproponowało kod dostępny wyłącznie dla obywateli Izraela i wyłącznie na terytorium Izraela. Latem 2024 r. izraelskie władze, jak sugerował wyciek dokumentów opisany przez „The Guardian”, próbowały utrudnić amerykański proces. 20 grudnia 2024 r. sąd uznał NSO za odpowiedzialne ze wszystkich 3 podstaw, które pozostały w sprawie (czwartą, naruszenie posiadania rzeczy, sąd odrzucił już w 2020 r.), nakładając zarazem sankcje dowodowe za niewykonanie zarządzeń.

Proces o odszkodowanie zakończył się 6 maja 2025 r. werdyktem ławy przysięgłych: 444 719 dolarów odszkodowania i 167 254 000 dolarów nawiązki karnej. 17 października 2025 r. sędzia Hamilton obniżyła nawiązkę do 4 002 471 dolarów, czyli 9-krotności odszkodowania, uznając to za górną granicę, na jaką pozwala orzecznictwo Sądu Najwyższego USA przy zachowaniu, którego nie uznała za „szczególnie rażące”, i zarazem uwzględniła wniosek o bezterminowy zakaz atakowania WhatsAppa i jego użytkowników. Zakaz wpisano do wyroku końcowego z 12 listopada 2025 r.; obowiązuje od 28 stycznia 2026 r., po tym jak sąd apelacyjny odmówił jego wstrzymania. NSO złożyło apelację (sprawa nr 25-7380 przed Dziewiątym Okręgiem). 8 czerwca 2026 r. Meta wystąpiła o ukaranie NSO za obrazę sądu, twierdząc, że po wejściu zakazu w życie firma założyła 23 konta i 34 grupy testowe i w lutym oraz kwietniu 2026 r. rozsyłała linki phishingowe. Do chwili pisania tego tekstu nie ma informacji o rozstrzygnięciu, a 20 maja 2026 r. organizacje społeczne, m.in. Access Now, EFF, Komitet Ochrony Dziennikarzy i Reporterzy bez Granic, złożyły brief amici curiae w obronie zakazu.

Mechanizm, który w Polsce był tajemnicą

Najciekawsze nie są kwoty, lecz opis działania systemu, który wyłonił się z pozwu, zeznań i odtajnionych pism procesowych. Według pozwu z 2019 r. NSO tworzyło konta WhatsApp na numery z Cypru, Izraela, Brazylii, Indonezji, Szwecji i Holandii, dzierżawiło serwery m.in. w USA i przesyłało przez serwery sygnalizacyjne WhatsAppa złośliwy kod ukryty w ustawieniach połączenia. Kod wstrzykiwał się do pamięci telefonu nawet wtedy, gdy ofiara nie odebrała połączenia. Następnie przez serwery przekaźnikowe wysyłano pakiet aktywujący, telefon łączył się z serwerem NSO i pobierał właściwe oprogramowanie szpiegujące. Po tym, jak WhatsApp załatał lukę CVE-2019-3568 w maju 2019 r., pracownik NSO napisał w wewnętrznej korespondencji, że platforma zamknęła im najważniejszy wektor zdalnej instalacji na telefony komórkowe.

Odtajnione w listopadzie 2024 r. pismo WhatsAppa i zeznania szefa działu badań NSO dodały nazwy i chronologię. NSO zdekompilowało aplikację WhatsApp i zbudowało własnego, fałszywego klienta, nazwanego wewnętrznie WhatsApp Installation Server (WIS), który potrafił wysyłać do serwerów komunikaty niedostępne dla oficjalnej aplikacji. Na tej podstawie powstała rodzina wektorów instalacji o nazwie Hummingbird: Heaven (testowany od kwietnia 2018 r.), Eden (ten, który posłużył do ataku z 2019 r.) i Erised, używany jeszcze po złożeniu pozwu, aż do zmian po maju 2020 r. Każdy z nich przechodził przez infrastrukturę WhatsAppa, a sąd w grudniu 2024 r. odnotował, że w samym maju 2019 r. kod Pegasusa przeszedł przez serwery w Kalifornii 43 razy.

Kto naciska przycisk

Z perspektywy polskiej debaty najważniejsze jest jedno ustalenie. WhatsApp twierdził w pismach procesowych, że klient NSO wpisuje numer telefonu, naciska „instaluj” i czeka, a całą resztę wykonuje infrastruktura producenta. Pozew z 2019 r. opisał sieć komputerów kontrolowanych przez NSO, które przekazywały złośliwy kod, polecenia i dane między zainfekowanym telefonem, NSO i klientami, oraz wsparcie techniczne świadczone przez inżynierów NSO zdalnie, przez pulpit zdalny i VPN. NSO konsekwentnie odpowiadało, że to klienci obsługują system, a firma nie ma wglądu w zebrane dane. Sąd nie musiał rozstrzygać tego sporu w całości, bo sankcje dowodowe pozwoliły przyjąć wersję powoda w zakresie, w jakim NSO odmówiło ujawnienia kodu.

Jest jeszcze warstwa doktrynalna. Jonathon Penney i Bruce Schneier w artykule „Platforms, Encryption, and the CFAA” (Berkeley Technology Law Journal 2021) pokazali, że Pegasus nie łamie szyfrowania end-to-end, lecz je obchodzi: przejmuje końcówkę, czyli telefon, i czyta wiadomości przed zaszyfrowaniem albo po odszyfrowaniu. Autorzy nazwali to „network trespass”: wtargnięciem do całej sieci, a nie tylko do pojedynczego urządzenia. Ta obserwacja ma znaczenie także dla polskiego prawa, bo pokazuje, że przedmiotem ingerencji nie jest „rozmowa”, lecz cały zasób urządzenia, wraz z jego przeszłością.

Dwa opisy jednego systemu

Zestawmy teraz komunikat Prokuratury Krajowej z 12 października 2026 r. z aktami kalifornijskimi. Zbieżność jest uderzająca.

Po pierwsze, kto instaluje. Biegli ABW: moduł serwera odpowiedzialnego za infekowanie urządzeń mobilnych pozostawał pod wyłączną kontrolą producenta, a CBA nie posiadało haseł do części kont administracyjnych. Akta kalifornijskie: wektory Heaven, Eden i Erised oraz fałszywy klient WIS zbudował i utrzymywał zespół badawczy NSO, a klient obsługiwał jedynie panel z numerem telefonu.

Po drugie, którędy płyną dane. Biegli ABW: dane opuszczały terytorium Polski przez sieć anonimizującą złożoną z serwerów w różnych częściach świata, zarządzaną przez producenta; biegli ujawnili zagraniczne adresy IP. Pozew z 2019 r.: serwery proxy i przekaźnikowe dzierżawione m.in. u Choopa, QuadraNet i Amazon Web Services, tworzące „centrum nerwowe”, przez które NSO wspierało i kontrolowało użycie Pegasusa przez klientów.

Po trzecie, kto ma dostęp do systemu w trakcie pracy. Biegli ABW: wsparcie techniczne i aktualizacje odbywały się zdalnie, prowadzone kontrole nie były wstrzymywane, a producent uzyskiwał pełen dostęp do systemu, w tym możliwość zmian w oprogramowaniu i konfiguracji. Pozew z 2019 r.: zdalna diagnostyka przez inżynierów NSO z użyciem pulpitu zdalnego i VPN.

Po czwarte, co system zbiera. Biegli ABW: SMS, komunikatory, e-mail, historia i treść rozmów GSM i VoIP, kontakty, kalendarz, historia przeglądania, zdjęcia, pliki, lokalizacja GPS, mikrofon i kamera w czasie rzeczywistym, zrzuty ekranu, a także wiadomości wysłane i odebrane przed rozpoczęciem kontroli operacyjnej, jeśli nadal były na urządzeniu. Pozew z 2019 r.: modułowe oprogramowanie przechwytujące komunikację z iMessage, Skype, Telegrama, WeChata, Messengera i WhatsAppa, zrzuty ekranu, historię przeglądarki i kontakty.

Różnica dotyczy jednego zdania, które w komunikacie prokuratury jest najważniejsze z punktu widzenia odpowiedzialności: opinie biegłych nie przesądzają, czy producent faktycznie uzyskał dostęp do materiałów z konkretnych kontroli. To jest fakt ustalony negatywnie, czyli brak dowodu, a nie dowód braku. Amerykański sąd stanął przed tym samym murem i rozwiązał go procesowo: skoro NSO odmówiło pokazania kodu, ciężar niepewności obciążył NSO. Polska prokuratura nie ma takiego instrumentu wobec zagranicznej spółki, a Hiszpania przekonała się o tym boleśnie, gdy w styczniu 2026 r., jak relacjonował „El País”, Audiencia Nacional po raz kolejny umorzyła śledztwo w sprawie ataków na telefony premiera i minister obrony z braku współpracy Izraela, co odnotowuje brief amici w sprawie kalifornijskiej.

Czy Pegasus mieści się w polskiej definicji kontroli operacyjnej

Uczciwie trzeba najpierw przedstawić najmocniejszy argument obrońców zakupu. Polskie ustawy pragmatyczne służb, m.in. art. 17 ustawy o CBA, art. 27 ustawy o ABW i art. 19 ustawy o Policji, od nowelizacji ze stycznia 2016 r. definiują kontrolę operacyjną szeroko. Obejmuje ona nie tylko utrwalanie rozmów i korespondencji, lecz także uzyskiwanie i utrwalanie danych zawartych w informatycznych nośnikach danych, telekomunikacyjnych urządzeniach końcowych oraz systemach informatycznych i teleinformatycznych. Zdalny dostęp do telefonu, rozumiany abstrakcyjnie, ma więc podstawę ustawową. Zgody wydawał sąd, w praktyce Sąd Okręgowy w Warszawie. Szyfrowane komunikatory realnie odebrały służbom skuteczność klasycznego podsłuchu, a NSO wskazuje, że Pegasus pomógł m.in. w ujęciu Joaquína Guzmána. Na tym poziomie ogólności argument jest poprawny.

Kłopot zaczyna się przy konkretnym narzędziu i wynika wprost z ustaleń biegłych.

Pierwszy problem to czas. Zgoda na kontrolę operacyjną działa od chwili jej zarządzenia i na oznaczony okres. Pegasus, według biegłych ABW, sięgał po wiadomości sprzed rozpoczęcia kontroli, o ile były nadal zapisane na urządzeniu. Kontrola operacyjna, która obejmuje archiwum z lat poprzednich, jest w tej części czymś innym niż kontrola operacyjna: jest przeszukaniem bez postanowienia o przeszukaniu, bez udziału osoby i bez protokołu. Obrońcy zakupu odpowiedzą, że dodany w 2016 r. punkt o danych zawartych w urządzeniach końcowych obejmuje dokładnie to, a część komentatorów twierdzi, że liczy się data pozyskania danych, nie data napisania wiadomości. Być może. Tylko że przepis pozwalający czytać zawartość urządzenia nie mówi sędziemu, jak daleko wstecz służba może sięgnąć, a zgoda, która tego nie określa, zezwala na wszystko. Pierwszy polski sąd, który musiał się z tym zmierzyć, odczytał ustawę odwrotnie; jego losy opisuję niżej.

Drugi problem to integralność. Producent miał możliwość dokonywania zmian w oprogramowaniu i konfiguracji systemu w trakcie prowadzonych kontroli, a CBA nie było w stanie zweryfikować poprawności działania modułów odpowiedzialnych za przesyłanie i przechowywanie danych. W procesie karnym dowód musi mieć ustalone pochodzenie i nienaruszalność. Jeśli materiał przeszedł przez infrastrukturę, do której służba nie miała pełnych haseł, a trzeci podmiot mógł zmieniać konfigurację, obrona ma prawo pytać, kto gwarantuje, że to, co trafiło do akt, jest tym, co było w telefonie.

Trzeci problem to informacje niejawne. Materiały z kontroli operacyjnej są informacjami niejawnymi, a systemy je przetwarzające wymagają akredytacji bezpieczeństwa teleinformatycznego. ABW stwierdziła w maju 2025 r., że Pegasus takiej akredytacji powinien podlegać, i na tym oparto zarzuty niedopełnienia obowiązków wobec byłych szefów CBA, ABW i SKW. Komisja śledcza poszła dalej, kwalifikując w niektórych zawiadomieniach umożliwienie ujawnienia informacji niejawnych podmiotom zagranicznym. Czy do takiego ujawnienia doszło, nie wiadomo; wiadomo, że technicznie było to możliwe przez cały okres użytkowania systemu.

Czwarty problem jest najprostszy: sąd zgadzał się na coś, czego nie znał. Nowa ustawa pozwala mu żądać materiałów i przerwać kontrolę, ale nadal nie wymaga wskazania we wniosku narzędzia ani jego cech, takich jak zasięg wstecz, zdolność modyfikacji danych czy udział podmiotu trzeciego. To luka, którą komisja śledcza opisała słowami o wprowadzeniu sądów w błąd, a którą ustawodawca jak dotąd pozostawił otwartą.

Jedyny polski sąd, który spróbował

Jeden polski sąd próbował opisać narzędzie, zanim ocenił jego produkt, i jego doświadczenie jest tezą tego tekstu w miniaturze. W 2018 r. CBA uzyskało w Sądzie Okręgowym w Warszawie zgodę na kontrolę operacyjną prywatnego detektywa, emerytowanego funkcjonariusza ABW podejrzewanego o to, że wypytywał czynną funkcjonariuszkę, czy jest obserwowany. Biuro pobrało z jego telefonu korespondencję z komunikatora, w tym wiadomości sprzed wydania zgody, a prokuratura zbudowała na tym akt oskarżenia. Sąd Okręgowy we Wrocławiu skazał. W maju 2023 r. Sąd Apelacyjny we Wrocławiu uniewinnił detektywa w pierwszym orzeczeniu polskiego sądu o dowodach przypisywanych Pegasusowi. Sąd nie zdołał nawet ustalić, jakiego narzędzia użyto, bo CBA 2 razy odmówiło odpowiedzi i nie ujawniło pełnego uzasadnienia wniosku skierowanego do sądu wydającego zgodę; o Pegasusie wnioskował z doniesień prasowych. Na tej podstawie uznał, że oprogramowanie instalowane w drodze włamania na telefon i dające pełen dostęp do jego zawartości nie jest tym, co ustawa nazywa uzyskiwaniem danych z urządzenia końcowego; że dane historyczne nie pozostają w związku z celem kontroli, która ma potwierdzić informację o przestępstwie, a kilka miesięcy wcześniej takiej informacji mogło w ogóle nie być; oraz, 3 lata przed biegłymi ABW, że sposób transferu danych stwarza możliwość dostępu do nich innych podmiotów, „jak choćby producenta oprogramowania”. Wyłączył też późniejsze wyjaśnienia oskarżonych jako owoc tego samego drzewa, bo pytania zadawane im na przesłuchaniach były ukształtowane przez to, co ujawniła inwigilacja.

Prokuratura wniosła kasację, której projekt, jak podała „Rzeczpospolita”, napisał prokurator będący dziś rzecznikiem Prokuratury Krajowej. Jej główny argument zasługuje na uwagę: sąd apelacyjny nie ustalił, jakiego narzędzia użyto, a wiedzę o działaniu Pegasusa zaczerpnął z mediów, więc nie mógł oceniać jego legalności. To prawda, i na tym polega problem. Sąd nie miał innego źródła. Sąd Najwyższy otworzył rozprawę 22 stycznia 2026 r. i tego samego dnia ją odroczył, zwracając się do szefa CBA o informację, czy oprogramowanie miało akredytację. Sędzia sprawozdawca przechodzi w tym tygodniu w stan spoczynku, sprawa trafi do nowego referenta, a pierwsze polskie rozstrzygnięcie o legalności dowodu z Pegasusa jest, 8 lat po inwigilacji, równie odległe jak na początku.

Dowód z Pegasusa przed polskim sądem

Co się dzieje, gdy materiał z Pegasusa trafia do akt sprawy karnej albo podatkowej? Odpowiedź zależy od przepisu, który w 2016 r. zmieniono w kierunku dokładnie odwrotnym do tego, czego dziś wymaga sytuacja. Pisaliśmy o tym 10 lat temu w tekście prawo karne a nadużywanie środków, gdy ówczesny minister sprawiedliwości zapowiadał zniesienie zasady owoców zatrutego drzewa. Zniósł ją w marcu 2016 r. Kilkanaście miesięcy później z podległego mu Funduszu Sprawiedliwości sfinansowano Pegasusa.

Obecny art. 168a k.p.k. stanowi, że dowodu nie można uznać za niedopuszczalny wyłącznie dlatego, że uzyskano go z naruszeniem przepisów postępowania lub za pomocą czynu zabronionego, chyba że funkcjonariusz publiczny uzyskał go w związku z obowiązkami służbowymi w wyniku zabójstwa, umyślnego uszczerbku na zdrowiu lub pozbawienia wolności. Bezprawne uzyskanie dostępu do informacji z art. 267 k.k. na tej liście nie figuruje. Czytany literalnie przepis zakazuje więc sądowi odrzucenia materiału z Pegasusa tylko dlatego, że uzyskano go bezprawnie, nawet gdyby okazało się, że zgoda sądu była wadliwa, że dane pobrano sprzed okresu kontroli albo że przeszły przez obcą infrastrukturę. Inne podstawy wyłączenia pozostają, m.in. tajemnica obrończa, zakres zgody i rzetelność procesu, ale sama bezprawność przestała być jedną z nich. Doktryna i część orzecznictwa ratują ten przepis wykładnią prokonstytucyjną, odwołując się do art. 7 i art. 51 ust. 4 Konstytucji oraz do testu rzetelności procesu z art. 6 EKPC. Omawiamy to szerzej w opracowaniu o tym, czym są dowody pozyskane nielegalnie i jak różne systemy prawne je traktują.

Drugi przepis to art. 168b k.p.k., dotyczący dowodów przestępstw innych niż objęte zgodą sądu lub popełnionych przez inne osoby. Sąd Najwyższy w uchwale 7 sędziów z 28 czerwca 2018 r. (I KZP 4/18) ograniczył go do przestępstw katalogowych, co do których sąd w ogóle mógł wyrazić zgodę na kontrolę. Przy narzędziu, które z natury zbiera wszystko, wliczając korespondencję z adwokatem, ten przepis staje się głównym polem bitwy, zwłaszcza że jeden z zarzutów prokuratury dotyczy przekazania materiałów z kontroli Romana Giertycha objętych tajemnicą obrończą.

Trzeci punkt odniesienia to linia Sądu Apelacyjnego w Warszawie ze sprawy agenta Tomka (II AKa 70/13), opisana w tekście o tym, gdzie leżą granice policyjnej prowokacji: działania operacyjne prowadzone bez dochowania wymogów ustawowych nie wywołują skutków w sferze dowodowej, a skażenie obejmuje dowody pochodne. Ta argumentacja opiera się na Konstytucji, a nie na brzmieniu art. 168a, i Sąd Najwyższy potwierdził już pod rządami tekstu z 2016 r., że przepis nie działa także w drugą stronę. W postanowieniu z 24 października 2023 r. (V KK 178/23) oddalił jako oczywiście bezzasadną kasację prokuratora, który twierdził, że art. 168a nakłada na sąd obowiązek orzekania na podstawie dowodów uzyskanych przez funkcjonariuszy CBA w drodze bezprawnej prowokacji; o tym, czy prowokacja dotknęła osobę niewinną, nie można zdaniem SN decydować ex post, lecz według stanu z chwili jej podjęcia. Razem te orzeczenia są dziś najsolidniejszym narzędziem obrony w sprawach, w których w tle pojawia się Pegasus.

Jest wreszcie wątek podatkowy, dla przedsiębiorców najbardziej praktyczny. Art. 181 Ordynacji podatkowej pozwala organom podatkowym korzystać z materiałów zgromadzonych w postępowaniu karnym. Materiał z kontroli operacyjnej przekazany prokuratorowi może więc trafić do decyzji wymiarowej. O tym, jak dowód zdobyty nielegalnie w postępowaniu podatkowym powinien być weryfikowany przez organ, i o tym, jak w praktyce działają podsłuchy w sprawach podatkowych, pisaliśmy osobno. Teza z tamtych tekstów po 12 października 2026 r. nabiera ostrości: organ, który otrzymuje materiał operacyjny, powinien ustalić, jakim narzędziem go uzyskano i czy mieściło się to w zgodzie sądu, zamiast przyjmować go bezrefleksyjnie jako dokument urzędowy.

Dlaczego Kalifornia wiedziała więcej

Odpowiedź nie leży w talencie sędziów, lecz w procedurze. Amerykańskie postępowanie cywilne zmusiło NSO do wyboru: ujawnić kod albo przegrać. Sędzia Hamilton zastosowała test z orzeczenia Richmark, ważąc amerykańskie obowiązki dowodowe z izraelskimi ograniczeniami eksportowymi, i uznała, że bezpieczeństwo państwa obcego nie zwalnia strony z procesu. Gdy NSO wybrało sankcje zamiast ujawnienia, sąd przyjął za udowodnione to, czego firma nie chciała pokazać. Meta opublikowała potem zeznania świadków w domenie publicznej. Z perspektywy przedsiębiorcy to lekcja o wartości tajemnicy przedsiębiorstwa: NSO uznało, że nawiązka jest tańsza niż kod źródłowy, i w tej kalkulacji, jak pokazała redukcja do 4 mln dolarów, prawdopodobnie miało rację.

W Polsce działał mechanizm odwrotny. Wiedza o systemie była niejawna ze względu na ochronę informacji niejawnych, a więc chroniona przed obywatelami, choć, jak dziś wiemy, nie przed producentem. Komisja śledcza działała w warunkach sporu o własną legitymację, a zagraniczna spółka pozostawała poza zasięgiem polskich organów. W efekcie państwo kupiło w 2017 r. produkt, którego nie mogło zbadać, i przez 5 lat używało go wobec własnych obywateli. Senacka komisja ujęła to jednym zdaniem: Pegasus nie jest narzędziem operacyjnym, lecz bronią cybernetyczną. Brzmi to jak retoryka, ale opinie biegłych ABW nadały tej frazie treść techniczną.

Ocena, czy był to błąd, zaniedbanie czy coś więcej, należy do sądów. Rekonstrukcja, którą tu przedstawiamy, pozostaje hipotezą opartą na dokumentach publicznych. Jedno jest jednak pewne: ktokolwiek czytał pozew z października 2019 r., wiedział więcej o Pegasusie niż sędzia wydający zgodę na jego użycie w Warszawie.

Co dalej

Kilka spraw pozostaje otwartych i warto je obserwować równolegle.

W Kalifornii Dziewiąty Okręg rozpozna apelację NSO od zakazu i od wyroku, a sąd pierwszej instancji wniosek o ukaranie za obrazę. Od października 2025 r. NSO jest kontrolowane przez amerykańskich inwestorów, a jego przewodniczącym wykonawczym został były ambasador USA w Izraelu David Friedman, co amici odczytują jako próbę wejścia na rynek amerykański mimo wpisu na listę podmiotów objętych ograniczeniami eksportowymi z listopada 2021 r.

W Polsce śledztwo Zespołu Śledczego nr 3 obejmuje 3 wątki: legalność kontroli operacyjnych, sposób wykorzystania informacji oraz bezpieczeństwo systemu. Zarzuty usłyszało dotąd 7 osób. Komisja Odpowiedzialności Konstytucyjnej zajmuje się uzupełnionym wnioskiem o Trybunał Stanu dla byłego ministra sprawiedliwości, a ustawa z 4 września 2026 r., ogłoszona 30 września (Dz.U. poz. 1281), wejdzie w życie 31 października i nie obejmie kontroli z lat od 2017 do 2022. Pierwsza sprawa Pegasusa w Sądzie Najwyższym zaczyna się od nowa z nowym sprawozdawcą. Przed ETPC toczy się sprawa Brejza i inni przeciwko Polsce.

Dla osób, które podejrzewają, że były inwigilowane, droga jest znana: badanie kryminalistyczne urządzenia przez Citizen Lab lub Amnesty International, powiadomienia Apple o atakach sponsorowanych przez państwo, wniosek o status pokrzywdzonego w śledztwie prokuratury, a w razie publikacji materiałów powództwo o ochronę dóbr osobistych; w sprawie senatora Brejzy sąd nakazał TVP przeprosiny i 200 tys. zł zadośćuczynienia. Dla osób, w których sprawach pojawia się materiał operacyjny z lat od 2017 do 2022, pierwszym wnioskiem dowodowym powinno być pytanie o narzędzie, zakres czasowy pobranych danych i drogę, jaką przeszły, zanim trafiły do akt. Odpowiedzi kryją się w logach ekstrakcji, znacznikach czasu i sumach kontrolnych plików; oskarżyciel, który nie potrafi ich przedstawić, nie potrafi zaręczyć za akta.

Podsumowanie

Pegasus przez 5 lat był w Polsce przedmiotem sporu politycznego o to, kogo podsłuchiwano. Komunikat prokuratury z 12 października 2026 r. przeniósł spór tam, gdzie od początku powinien się toczyć: na pytanie, czym to narzędzie jest i kto nad nim panował. Odpowiedź, jaką dali biegli ABW, pokrywa się z tym, co od 2019 r. leżało w aktach sądu w Oakland. Państwo, które chce używać oprogramowania przejmującego telefony obywateli, musi najpierw umieć je opisać przed własnym sądem. Skoro potrafił to zrobić sąd cywilny w Kalifornii w sporze dwóch prywatnych spółek, tym bardziej powinien umieć sąd karny w Warszawie, zanim wyda zgodę.

Najczęstsze pytania

Czy użycie Pegasusa w Polsce było legalne?

Nie ma jeszcze prawomocnego rozstrzygnięcia. Senacka komisja w 2023 r. uznała je za nielegalne, prokuratura postawiła 7 osobom zarzuty dotyczące m.in. braku akredytacji systemu i bezpodstawnych kontroli, a komisja śledcza złożyła zawiadomienia wobec 11 osób. Spór dotyczy nie tego, czy państwo może sięgać po dane z telefonu, lecz tego, czy to konkretne narzędzie mieściło się w zgodzie sądu i w wymogach ochrony informacji niejawnych.

Co dokładnie ustaliła sprawa WhatsApp v. NSO Group?

Że NSO zbudowało fałszywego klienta WhatsAppa i 3 wektory instalacji (Heaven, Eden, Erised), że kod przechodził przez serwery WhatsAppa w Kalifornii, że po załataniu luki firma dalej rozwijała nowe wektory, a klient ograniczał się do podania numeru. Sąd uznał NSO za odpowiedzialne w grudniu 2024 r., ława przysięgłych zasądziła odszkodowanie w maju 2025 r., a w październiku 2025 r. sąd zakazał NSO atakowania WhatsAppa.

Czy dowód z Pegasusa można wykorzystać w polskim procesie?

Art. 168a k.p.k. stanowi, że sama bezprawność uzyskania dowodu nie jest podstawą jego odrzucenia, chyba że funkcjonariusz publiczny uzyskał go w wyniku zabójstwa, uszczerbku na zdrowiu lub pozbawienia wolności. Wszystkie inne podstawy pozostają: obrona może kwestionować taki dowód na podstawie Konstytucji (art. 7, art. 51 ust. 4), art. 6 EKPC, uchwały SN I KZP 4/18 w zakresie art. 168b k.p.k., postanowienia SN V KK 178/23 o bezprawnej prowokacji CBA oraz wyroku Sądu Apelacyjnego we Wrocławiu z 2023 r., rozpoznawanego obecnie przez Sąd Najwyższy.

Skąd wiadomo, że dane z Pegasusa opuszczały Polskę?

Z opinii biegłych Biura Badań Kryminalistycznych ABW, sporządzonych w śledztwie Prokuratury Krajowej po oględzinach systemu w siedzibie CBA. Biegli ujawnili zagraniczne adresy IP używane do przesyłania danych i ustalili, że sieć anonimizująca była zarządzana przez producenta. Nie przesądzili natomiast, czy producent faktycznie zapoznał się z materiałami z konkretnych kontroli.

Stan prawny i faktyczny na 14 października 2026 r.

Robert Nogacki

Robert Nogacki jest radcą prawnym, założycielem i partnerem zarządzającym Kancelarii Prawnej Skarbiec, działającej nieprzerwanie od 2006 roku.

Prawo jest równe dla wszystkich, ale strony rzadko są równe: po jednej stoi organizacja, która ma czas, pieniądze i prawników, po drugiej człowiek, który ma jedną firmę, jedne oszczędności i jedno życie.

Klienci rzadko przychodzą do niego z problemem prawnym. Przychodzą z problemem, który ma także stronę prawną: z kontrolą, która zaczęła się od jednej faktury, z pieniędzmi powierzonymi komuś, kto zniknął, z firmą, którą trzeba przekazać dalej, zanim będzie za późno. Większość takich spraw rozstrzyga się na długo przed pierwszym pismem, w decyzjach podjętych bez pytania i w terminach, o których nikt nie pamiętał. Dlatego zaczyna od pytania, jak klient trafił w to miejsce, a nie od tego, co powinien był zrobić.

Doradza przedsiębiorcom i rodzinom z kilkunastu krajów, także tym, którym fiskus właśnie zajął konto i którzy nie wiedzą, co robić jutro rano. Broni ich w kontrolach podatkowych i celno-skarbowych, w sporach z organami podatkowymi i w sprawach karnych skarbowych. Reprezentuje poszkodowanych w oszustwach inwestycyjnych i piramidach finansowych. Pomaga rodzinom zakładać fundacje rodzinne i planować sukcesję, żeby dorobek życia przetrwał dłużej niż jedno pokolenie.

Nie każdą sprawę da się wygrać. Każdą da się prowadzić tak, żeby klient wiedział, na czym stoi. Od 2006 roku reprezentuje pokrzywdzonych w sprawie WGI (Warszawskiej Grupy Inwestycyjnej), jednej z najdłuższych spraw karnych w historii polskiego rynku finansowego, bo są rzeczy, których nie wolno zostawić w połowie, nawet jeśli trwają dwie dekady. W sprawie upadłej giełdy kryptowalut Zonda (Zondacrypto, operator BB Trade Estonia OÜ) reprezentuje kilkuset poszkodowanych w postępowaniu prowadzonym przez Prokuraturę Krajową i w estońskim postępowaniu upadłościowym.

Kancelaria Prawna Skarbiec jest notowana w rankingach największych firm doradztwa podatkowego Dziennika Gazety Prawnej i Rzeczpospolitej, a w latach 2015 do 2018 czterokrotnie otrzymała Medal Europejski Business Centre Club i Europejskiego Komitetu Ekonomiczno-Społecznego. Robert Nogacki publikuje regularnie, w prasie i na stronie kancelarii, dla ludzi, którzy mają problem, a nie dyplom prawnika, bo opinia prawna, której klient nie rozumie, chroni tylko prawnika.

Wierzy, że najlepsza porada prawna to ta, dzięki której klient nigdy nie musi stanąć przed sądem.