Dowody cyfrowe przed sądem: dlaczego wydruk to za mało i jak zbudować wiarygodność, którą da się zweryfikować

Ilustracja wygenerowana przez AI (model GPT Image 2 na platformie FOTOhub.app). Oznaczenie zgodnie z art. 50 AI Act.

Coraz częściej o wyniku postępowania karnego, cywilnego czy dyscyplinarnego decyduje nie zeznanie świadka, lecz plik: e-mail, zrzut ekranu z komunikatora, nagranie, eksport z systemu albo logi serwera. Problem polega na tym, że polski proces wciąż traktuje ten materiał tak, jakby był papierem. A papier i dane cyfrowe rządzą się zupełnie innymi prawami.

W tym artykule pokazuję, gdzie leży sedno problemu, jak wygląda międzynarodowy standard postępowania z dowodem cyfrowym, co naprawdę mówi art. 168a k.p.k. w świetle orzecznictwa Sądu Najwyższego oraz dlaczego potrzebujemy w Polsce standardu, który nazywam Evidence Integrity Protocol.

Wydruk nie jest dowodem cyfrowym. Jest jego cieniem

Zacznijmy od rozróżnienia, które w praktyce sądowej wciąż bywa ignorowane. Wydruk wiadomości z komunikatora, zrzut ekranu czy plik PDF wygenerowany z korespondencji to nie jest dowód cyfrowy. To reprezentacja treści, która wymaga osobnej weryfikacji trzech rzeczy: źródła, historii i integralności.

Dowód cyfrowy jest z natury kruchy. Znacznik czasu można zmodyfikować, plik nadpisać bez śladu, a pochopne zabezpieczenie potrafi bezpowrotnie zniszczyć dane ulotne. Jedna interakcja z urządzeniem, wykonana przez osobę bez odpowiednich kompetencji, może skasować metadane albo zawartość pamięci RAM i podważyć całą dalszą analizę.

Tymczasem w aktach spraw wydruk zaczyna żyć własnym życiem. I tu dochodzimy do mechanizmu, który jest realnym zagrożeniem dla rzetelności procesu.

Mechanizm "wzmacniania wiarygodności"

Nie potrzeba złej woli, żeby materiał o nieustalonym pochodzeniu zaczął funkcjonować w postępowaniu jak materiał zweryfikowany. Wystarczy sekwencja rutynowych czynności procesowych:

1. Strona przedkłada wydruk korespondencji.
2. Wydruk trafia do akt i otrzymuje numer karty.
3. Świadek jest przesłuchiwany "na okoliczność" treści wydruku i ją potwierdza.
4. W kolejnych pismach strony powołują się już na "dowód z akt".
5. Sąd w uzasadnieniu odwołuje się do "korespondencji stron".

W żadnym z tych kroków nikt nie odpowiedział na pytania podstawowe: skąd materiał pochodzi, kto go pozyskał, czy jest kompletny, czy nie został zmodyfikowany i kto miał do niego dostęp po drodze. Materiał "uwiarygodnił się" przez samo krążenie w obiegu procesowym. To jest różnica między dokumentem, który ktoś przedłożył, a dowodem, który można zweryfikować.

Pięć pytań dla krytycznego dowodu cyfrowego

Pytanie	Co trzeba ustalić
Pochodzenie	Z jakiego urządzenia, konta lub systemu pochodzi materiał?
Sposób pozyskania	Kto, kiedy, jaką metodą i na jakiej podstawie prawnej go zabezpieczył?
Integralność	Czy istnieje kryptograficzny dowód, hash, że materiał nie zmienił się od chwili zabezpieczenia?
Kompletność	Czy to całość korespondencji lub zapisu, czy wybrany fragment?
Łańcuch dostępu	Kto miał kontakt z materiałem między zabezpieczeniem a rozprawą?

Brak odpowiedzi na którekolwiek z tych pytań nie przesądza o fałszywości materiału. Przesądza o tym, że jego wiarygodności nie da się rzetelnie ocenić.

Dopuszczalność to nie wiarygodność

W tle całej dyskusji stoi art. 168a k.p.k. Przepis stanowi, że dowodu nie uznaje się za niedopuszczalny wyłącznie dlatego, że został uzyskany z naruszeniem przepisów postępowania lub za pomocą czynu zabronionego, poza wąskimi wyjątkami dotyczącymi najcięższych naruszeń popełnionych przez funkcjonariusza publicznego: zabójstwa, umyślnego spowodowania uszczerbku na zdrowiu albo pozbawienia wolności.

Z tego przepisu nie wolno jednak wyprowadzać wniosku, że każdy wadliwie uzyskany materiał ma być uznany za wiarygodny. Dopuszczalność i wiarygodność to dwa odrębne etapy oceny. Co więcej, orzecznictwo Sądu Najwyższego konsekwentnie ogranicza pole zastosowania tego przepisu.

Kluczowe jest postanowienie SN z 24 października 2023 r., V KK 178/23. Sąd Najwyższy stwierdził w nim wprost, że art. 168a k.p.k. "nie ustanawia reguły odnoszącej się do oceny dopuszczalności dowodów", a zakaz przeprowadzania dowodów nielegalnych wynika z art. 6 EKPC, art. 42 Konstytucji RP oraz art. 170 § 1 pkt 1 k.p.k. Stosowanie art. 168a wyłącznie w oparciu o wykładnię językową "prowadziłoby do dekompozycji całego systemu zakazów dowodowych". Wcześniej, w postanowieniu z 26 czerwca 2019 r., IV KK 328/18, SN wskazał, że przepis ten nie może stanowić podstawy przeprowadzenia dowodu, jeżeli czyniłoby to proces nierzetelnym w rozumieniu art. 6 ust. 1 EKPC.

Warto też odnotować kierunek legislacyjny: Komisja Kodyfikacyjna Prawa Karnego zaproponowała powrót do brzmienia art. 168a sprzed 2016 r., a więc do reguły zakazu wykorzystywania dowodów uzyskanych za pomocą czynu zabronionego, a projekt został przyjęty przez Radę Ministrów.

Dwa etapy oceny materiału dowodowego

Etap	Pytanie	Podstawowe ramy
1. Dopuszczalność	Czy materiał w ogóle może wejść do procesu?	Art. 168a k.p.k., art. 170 § 1 pkt 1 k.p.k., zakazy dowodowe, standard z art. 6 EKPC
2. Wiarygodność	Czy materiałowi można dać wiarę i czynić na jego podstawie ustalenia faktyczne?	Art. 7 k.p.k.; integralność, pochodzenie, kompletność i audytowalność danych

Problem polskiej praktyki polega na tym, że gdy system przesuwa akcent na samą możliwość wprowadzenia materiału do procesu, tym bardziej potrzebny jest niezależny standard badania jakości danych na etapie drugim.

Prawo do rzetelnego procesu nie polega na tym, że akta są obszerne. Polega na tym, że kluczowy materiał da się niezależnie zakwestionować, powtórnie zbadać i uczciwie ocenić.

Standard istnieje. Nazywa się ISO/IEC 27037

Częsty argument brzmi: "nie ma jak tego uregulować, technologia się zmienia". To nieprawda. Międzynarodowy standard postępowania z dowodem cyfrowym istnieje od 2012 roku i został przyjęty w Unii Europejskiej jako EN ISO/IEC 27037:2017. Norma określa wytyczne identyfikacji, gromadzenia, pozyskiwania i zabezpieczania potencjalnych dowodów cyfrowych tak, aby materiał wytrzymał kontrolę przed sądem.

Co istotne, gdy dowód cyfrowy jest kwestionowany na sali sądowej, pełnomocnik przeciwnika rzadko atakuje najpierw treść. Pierwszą linią ataku jest metoda pozyskania.

Cztery zasady jakości dowodu cyfrowego

Sercem standardu są cztery zasady, których spełnienie decyduje o obronności materiału:

Cztery fazy postępowania z dowodem: model ICAP

Standard porządkuje postępowanie z materiałem w czterech fazach: identyfikacja, gromadzenie, pozyskanie i zabezpieczenie.

Norma definiuje też dwie role: DEFR (Digital Evidence First Responder), czyli osobę pierwszego kontaktu z materiałem, oraz DES (Digital Evidence Specialist), specjalistę od złożonych systemów, takich jak macierze RAID, środowiska chmurowe czy pamięć operacyjna. Sens tego podziału jest procesowy: wymusza udokumentowanie, kto był uprawniony do jakiej czynności. Brak formalnego umocowania osoby zabezpieczającej to pierwszy zarzut, jaki podnosi pełnomocnik strony przeciwnej.

Uzupełnieniem są normy siostrzane: ISO/IEC 27041, walidacja metod badawczych, ISO/IEC 27042, analiza i interpretacja, ISO/IEC 27043, ramy procesowe badania incydentów oraz ISO/IEC 27050, eDiscovery. Dobrze skonstruowana opinia biegłego odwołuje się do całej tej rodziny, czyniąc łańcuch metodologiczny przejrzystym dla sądu.

Hash, znacznik czasu, pieczęć: technika, która ma skutki prawne

Kryptografia nie jest tu ozdobnikiem. Ma bezpośrednie przełożenie na wartość procesową materiału.

Formuła techniczna obronnego łańcucha dowodowego

• Hash SHA-256 kopii forensycznej, obliczony w chwili pozyskania i wpisany do protokołu, gwarantuje integralność treści bit po bicie. Zmiana jednego bitu daje inny wynik funkcji skrótu.
• Kwalifikowany znacznik czasu wiąże materiał z konkretnym momentem. Na mocy art. 41 rozporządzenia eIDAS (UE 910/2014) korzysta z domniemania dokładności daty i czasu oraz integralności danych i jest skuteczny wobec osób trzecich w całej UE.
• Kwalifikowana pieczęć elektroniczna identyfikuje organizację odpowiedzialną za zabezpieczenie i potwierdza pochodzenie oraz nienaruszalność pakietu.
• Rejestr łańcucha dowodowego dokumentuje każdy późniejszy dostęp, transfer i kopię, z podpisem i czasem.
• Utrata pojedynczego elementu nie unieważnia dowodu, ale obniża jego obronność wobec zarzutów strony przeciwnej.

Uwaga praktyczna dotycząca algorytmów: praktyka forensyczna przyjęła SHA-256 jako standard. SHA-1 jest zdeprecjonowany od udokumentowania kolizji w 2017 r., a MD5 od kolizji z lat 2004 i 2008. Opinia, w której jedyną kontrolą integralności jest MD5, wystawia dowód na skuteczny atak procesowy.

Warto dodać, że eIDAS 2.0, rozporządzenie UE 2024/1183, rozszerza ramy usług zaufania, m.in. o Europejski Portfel Tożsamości Cyfrowej i kwalifikowaną archiwizację elektroniczną, co dodatkowo wzmacnia infrastrukturę prawną dla wiarygodnych danych elektronicznych.

Najczęstsze błędy, które odbierają dowodowi cyfrowemu wartość

Z analizy spornych postępowań wyłania się powtarzalny katalog uchybień:

Nowy front: treści syntetyczne i standard C2PA

Pytanie "skąd materiał pochodzi?" nabiera dramatycznie nowego znaczenia w epoce generatywnej AI. Deepfake sprawia, że nagranie audio lub wideo przestaje być samouwierzytelniające. Odpowiedzią po stronie technologii jest standard C2PA (Coalition for Content Provenance and Authenticity), rozwijany m.in. przez Adobe, Microsoft, Intel i agencje prasowe.

C2PA definiuje tzw. Content Credentials: kryptograficznie podpisany manifest osadzany w pliku, który rejestruje, jakie urządzenie utworzyło treść, jakie oprogramowanie ją przetwarzało, jakie edycje wprowadzono i czy w tworzeniu uczestniczyła generatywna AI. Każdy wpis jest podpisany cyfrowo, a manifest jest powiązany z treścią hashem, przez co jakakolwiek modyfikacja pliku unieważnia poświadczenie.

Kluczowa myśl stojąca za tym standardem jest zbieżna z tezą całego niniejszego tekstu: wykrywanie fałszerstwa po fakcie to niekończący się wyścig zbrojeń z generatorami. Proweniencja omija ten wyścig, ustanawiając autentyczność w punkcie powstania treści, a nie próbując jej dowodzić po dystrybucji. Sam C2PA nie ocenia przy tym, czy treść jest "prawdziwa"; potwierdza jedynie, że informacja o pochodzeniu jest poprawna, niezmodyfikowana i podpisana przez zaufany podmiot.

Dokładnie taką rolę powinna pełnić warstwa integralności wobec każdego dowodu cyfrowego. Standard C2PA nie obejmie jednak treści zastanych ani materiałów pozbawionych metadanych, dlatego w praktyce dowodowej podejście proweniencyjne i analiza ekspercka muszą się uzupełniać.

Standard, którego brakuje w Polsce: Evidence Integrity Protocol

Skoro standardy międzynarodowe istnieją, problemem nie jest ich brak, lecz brak systemowego egzekwowania w krajowej praktyce. Potrzebujemy krajowego standardu dla dowodów cyfrowych o wysokim znaczeniu procesowym. Nie kolejnego formularza, lecz standardu techniczno-procesowego, który oddzieli materiał pomocniczy od materiału zdolnego samodzielnie przesądzać o istotnym fakcie.

Filar 1. Evidence Provenance Record

Każdy cyfrowy dowód powinien otrzymać niezależny zapis pochodzenia zawierający co najmniej:

• unikalny identyfikator dowodu;
• osobę i organ pozyskujący;
• datę, czas oraz podstawę prawną pozyskania;
• źródło, urządzenie lub usługę;
• stan nośnika i sposób zabezpieczenia;
• metodę kopii lub ekstrakcji;
• algorytm hash oraz wynik;
• kolejne osoby mające dostęp;
• pełną historię operacji wykonanych na materiale.

Filar 2. Biegły jako standard przy materiale krytycznym

Jeśli centralnym dowodem jest e-mail, SMS, nagranie, lokalizacja urządzenia, wiadomość z komunikatora albo zapis z konta online, niezależna analiza informatyki śledczej powinna być standardem. Nie luksusem dostępnym wyłącznie wtedy, gdy obrona ma czas, pieniądze i specjalistę zdolnego sformułować precyzyjny wniosek dowodowy.

Asymetria jest tu strukturalna. Organy ścigania dysponują infrastrukturą ekstrakcyjną, laboratoriami i dostępem do narzędzi klasy komercyjnej. Obrona najczęściej dysponuje wydrukiem. Jeżeli centralny dowód w sprawie ma charakter cyfrowy, a tylko jedna strona ma techniczne możliwości jego zbadania, kontradyktoryjność przestaje być realna, a staje się deklaracją.

Filar 3. Równość stron w dostępie do danych

Obrona nie może otrzymywać wyłącznie PDF-a z wydrukiem. Z poszanowaniem prywatności, tajemnic prawnie chronionych i zasad postępowania powinna mieć dostęp do weryfikowalnej kopii materiału źródłowego, metadanych, hashy, opisu metody pozyskania i zakresu wykonanej analizy. Bez tego kontradyktoryjność jest pozorna: jedna strona ma dostęp do infrastruktury i ekspertyzy, druga do obrazu treści bez historii jej powstania.

Minimalny pakiet dowodowy dla obrony przy materiale cyfrowym

• Kopia binarna lub logiczna materiału źródłowego, nie wydruk.
• Wykaz hashy wraz z algorytmem i momentem wyliczenia.
• Protokół pozyskania: kto, kiedy, czym, na jakiej podstawie.
• Opis metody ekstrakcji i jej zakresu: pełna kopia fizyczna, kopia logiczna albo ekstrakcja selektywna.
• Rejestr łańcucha dostępu od zabezpieczenia do udostępnienia.

Odmowa udostępnienia któregokolwiek z tych elementów powinna być wyraźnie umotywowana, a nie domyślna.

Sąd Najwyższy powiedział to wprost: screenshot wymaga weryfikacji

Ktoś mógłby zarzucić, że powyższe postulaty to akademicki maksymalizm. Tyle że polskie orzecznictwo już wyznaczyło ten kierunek.

W sprawie V KK 507/20 Sąd Najwyższy uchylił orzeczenie, zwracając uwagę na sposób potraktowania zdjęć ekranu telefonu komórkowego świadka. Sąd niższej instancji uznał je za wiarygodne, nie weryfikując faktycznego otrzymania wiadomości, numeru telefonu, z którego miały pochodzić, ani daty i godziny ich wysłania.

W uzasadnieniu pojawia się teza, która powinna stać się punktem odniesienia dla każdej sprawy opartej na cyfrowej komunikacji: bez procesowej weryfikacji informacji na podstawie danych teleinformatycznych, w tamtej sprawie poprzez historię SMS od operatora, nie było podstaw do jednoznacznego i niewątpliwego przyjęcia, że wiadomości rzeczywiście zawierały przypisaną im treść, pochodziły z określonego numeru i zostały wysłane w deklarowanym czasie.

To nie jest detal. To fundamentalny rozdział między obrazem a dowodem.

Screenshot może przedstawiać to, co było widoczne na ekranie w chwili jego wykonania. Sam nie dowodzi jednak:

• że komunikat trafił z określonego numeru, konta lub urządzenia;
• że wskazany numer był wówczas przypisany określonej osobie;
• że wiadomość rzeczywiście przeszła przez infrastrukturę operatora lub usługodawcy;
• że data i godzina nie zostały zmienione przez ustawienia urządzenia;
• że rozmowa jest kompletna, a wcześniejsze lub późniejsze wiadomości nie zmieniają jej sensu;
• że obraz nie był poddany edycji, rekonstrukcji lub wygenerowaniu;
• że osoba kontrolująca telefon była autorem wiadomości.

Sąd Najwyższy nie powiedział, że screenshoty są zakazane. Powiedział coś bardziej dojrzałego: jeśli ich treść ma znaczenie dla ustalenia faktów, trzeba ją zweryfikować. W szczególności nie wolno zastąpić tej weryfikacji samym wrażeniem, że screen "wygląda wiarygodnie".

Screenshot vs. dowód zweryfikowany

Kryterium	Screenshot	Materiał zweryfikowany
Źródło	Deklarowane przez stronę	Potwierdzone danymi teleinformatycznymi: operator, usługodawca, logi
Czas	Widoczny na obrazie, zależny od ustawień urządzenia	Potwierdzony znacznikiem czasu lub danymi po stronie infrastruktury
Integralność	Nieweryfikowalna	Hash wyliczony przy pozyskaniu, możliwy do powtórnego sprawdzenia
Kompletność	Fragment wybrany przez przedkładającego	Pełny kontekst konwersacji możliwy do zbadania
Autorstwo	Domniemane	Weryfikowalne w powiązaniu z kontrolą nad urządzeniem i kontem

Telefon zabezpieczony to dopiero początek, nie koniec

Debata publiczna wokół dowodów z urządzeń mobilnych koncentruje się często na spektakularnym pytaniu: czy uda się odblokować telefon. Tymczasem prawdziwy problem nie zaczyna się na pytaniu o PIN. Zaczyna się po zabezpieczeniu urządzenia.

Czy telefon został odizolowany od sieci? Czy zachowano stan urządzenia? Czy sporządzono protokół z numerem IMEI, stanem blokady, widocznymi aplikacjami i czasem przejęcia? Czy wykonano prawidłową kopię kryminalistyczną? Czy wyliczono hash? Czy dalsza analiza odbywała się na kopii, a nie na oryginale? Czy obrona może zweryfikować metodę ekstrakcji i zakres danych?

Jeżeli odpowiedź na te pytania brzmi "nie wiadomo", materiał może pozostać użyteczny operacyjnie. Nie powinien jednak bezrefleksyjnie stawać się cyfrowym fundamentem wyroku.

To rozróżnienie jest kluczowe: użyteczność operacyjna i wartość dowodowa to dwie różne kategorie. Materiał, który naprowadził śledczych na trop, nie staje się automatycznie materiałem zdolnym udźwignąć ustalenie faktyczne poza rozsądną wątpliwość.

Jak działa mechanizm bez złej woli: anatomia procesowego złudzenia

Warto raz jeszcze prześledzić, jak niezweryfikowany materiał nabiera pozornej mocy. Kartka trafia do akt. Policjant opisuje jej pochodzenie. Prokurator dołącza ją do aktu oskarżenia. Sąd widzi dokument, protokół i zeznania. Każdy kolejny etap może mimowolnie wzmacniać wrażenie wiarygodności materiału, choć nikt nie wykonał podstawowej pracy technicznej: nie pozyskał pliku źródłowego, nie zachował metadanych, nie wyliczył hashy, nie sprawdził serwerowych logów ani nie udokumentował pełnego łańcucha przekazania.

To nie musi być zła wola. Często jest to wynik braku jednolitego standardu, presji czasu, ograniczonych zasobów oraz nierówności kompetencyjnej. Ale efekt procesowy pozostaje ten sam: materiał o niezweryfikowanym pochodzeniu może zacząć funkcjonować w aktach jak materiał zweryfikowany.

Dwa pytania, które w praktyce bywają niebezpiecznie zlewane w jedno, to pytanie o to, czy dokument znajduje się w aktach, oraz pytanie o to, czy treść dokumentu odpowiada rzeczywistości. Pierwsze jest formalne. Drugie jest merytoryczne. System, który odpowiada twierdząco na pierwsze i traktuje to jako odpowiedź na drugie, produkuje ustalenia faktyczne o kruchym fundamencie.

Postulaty de lege ferenda

Na koniec konkretne postulaty, które przekładają diagnozę na rozwiązania:

1. Obowiązkowy protokół zabezpieczenia z hashem dla każdego materiału cyfrowego o znaczeniu dowodowym, obejmujący źródło, metodę, czas i osobę wykonującą czynność.
2. Prawo strony do kopii materiału źródłowego wraz z metadanymi, a nie wyłącznie do wydruku lub PDF-a, z zachowaniem niezbędnych ograniczeń wynikających z ochrony prywatności i tajemnic prawnie chronionych.
3. Minimalny standard metadanych dla dowodu z korespondencji elektronicznej: nagłówki, identyfikatory, dane infrastrukturalne po stronie operatora lub usługodawcy tam, gdzie to możliwe.
4. Weryfikacja teleinformatyczna jako reguła przy materiale krytycznym, zgodnie z kierunkiem wyznaczonym w sprawie V KK 507/20: jeśli treść komunikacji ma znaczenie dla ustalenia faktów, trzeba ją zweryfikować, a nie poprzestać na wrażeniu wiarygodności.
5. Dokumentowanie łańcucha dostępu od chwili zabezpieczenia do rozprawy, z możliwością niezależnego audytu przez stronę przeciwną.

Podsumowanie: weryfikowalność zamiast domniemanej wiarygodności

Nie twierdzę, że każdy wydruk jest fałszywy. Twierdzę coś znacznie ważniejszego: wydruk z natury rzeczy nie jest samodzielnym dowodem cyfrowym. Jest reprezentacją treści, której źródło, historia i integralność muszą zostać osobno zweryfikowane.

Rzetelny proces w epoce cyfrowej nie polega na tym, że akta są grube, a materiał obszerny. Polega na tym, że kluczowy dowód da się niezależnie zbadać, powtórnie sprawdzić i uczciwie zakwestionować. Technika daje nam do tego narzędzia: hashe, znaczniki czasu, kopie binarne, rejestry dostępu i standardy proweniencji treści. Prawo daje ramy: art. 7 k.p.k., standard rzetelnego procesu oraz orzecznictwo Sądu Najwyższego, które w sprawie V KK 507/20 powiedziało wprost, że obraz to nie dowód, dopóki nie zostanie zweryfikowany.

Brakuje jednego: systemowego nawyku, by pytania o pochodzenie, integralność i kompletność zadawać zawsze, a nie tylko wtedy, gdy strona ma szczęście trafić na dociekliwego pełnomocnika lub sąd wyczulony na specyfikę danych cyfrowych. Evidence Integrity Protocol to propozycja, by ten nawyk zamienić w standard. Bo w sporze o fakty przewagę powinien mieć ten, kto ma rację, a nie ten, kto pierwszy włożył kartkę do akt.

Masz pytania dotyczące zabezpieczania dowodów cyfrowych lub oceny materiału w konkretnej sprawie? Napisz do mnie. W kolejnych wpisach rozwinę wątek kwalifikowanych znaczników czasu w praktyce procesowej oraz analizę orzecznictwa dotyczącą dowodów z komunikatorów szyfrowanych.