Cudzoziemiec a dostęp do polskich informacji niejawnych

Cudzoziemiec a dostęp do polskich informacji niejawnych jest możliwy, ale nie wynika z samego zatrudnienia, funkcji w zarządzie ani udziału w projekcie. Potrzebna jest podstawa prawna przekazania informacji, zasada wiedzy koniecznej, właściwe poświadczenie albo upoważnienie, szkolenie oraz warunki techniczne i organizacyjne do pracy z materiałami niejawnymi.

Cudzoziemiec a dostęp do polskich informacji niejawnych w przepisach

Polska ustawa nie sprowadza dostępu do obywatelstwa. Punktem wyjścia jest ochrona konkretnej informacji, jej klauzula, cel udostępnienia oraz osoba, która ma ją poznać.

Podstawą krajową jest ustawa o ochronie informacji niejawnych. Ustawa określa zasady klasyfikowania informacji, organizację ochrony, postępowania sprawdzające, szkolenia, dostęp do systemów teleinformatycznych oraz bezpieczeństwo przemysłowe.

Cudzoziemiec to w tym kontekście osoba, która nie ma obywatelstwa polskiego. W praktyce trzeba też ustalić, czy ma kilka obywatelstw, stały pobyt za granicą, związki rodzinne lub majątkowe z innym państwem, zobowiązania wobec obcych organów albo wcześniejszy dostęp do informacji chronionych w innym systemie prawnym.

To nie są pytania grzecznościowe. Przy postępowaniu sprawdzającym i ocenie rękojmi zachowania tajemnicy liczy się możliwość realnego sprawdzenia osoby oraz oceny ryzyk wynikających z jej powiązań.

Warunki dopuszczenia

Dopuszczenie cudzoziemca trzeba rozłożyć na kilka osobnych przesłanek. Brak jednej z nich zwykle zatrzymuje sprawę, nawet jeżeli pozostałe są spełnione.

Przed udostępnieniem informacji trzeba sprawdzić:

• potrzebę dostępu, czyli czy dana osoba musi znać informację do wykonania konkretnego zadania,
• klauzulę tajności, bo inne skutki ma dostęp do informacji zastrzeżonych, a inne do poufnych, tajnych lub ściśle tajnych,
• podstawę formalną, na przykład stosunek pracy, umowę, udział w postępowaniu zakupowym, umowę niejawną albo obowiązki członka organu,
• poświadczenie bezpieczeństwa albo pisemne upoważnienie, zależnie od klauzuli i trybu dopuszczenia,
• szkolenie z ochrony informacji niejawnych, udokumentowane przed dopuszczeniem,
• warunki pracy z informacją, w tym pomieszczenie, kancelarię, system teleinformatyczny, ewidencję i nadzór.

Najczęstszy błąd polega na traktowaniu poświadczenia jako biletu wstępu do wszystkiego. Poświadczenie potwierdza wynik sprawdzenia osoby, ale nie zastępuje zasady wiedzy koniecznej. Jej praktyczne znaczenie opisuje osobne opracowanie o zasadzie wiedzy koniecznej.

Kto decyduje o dostępie

W jednostce nie powinno być jednego nieformalnego trybu: „szef wyraził zgodę”. Dostęp do informacji niejawnych musi wynikać z decyzji osób, które mają ustawowe zadania w systemie ochrony.

Kierownik jednostki organizacyjnej odpowiada za ochronę informacji niejawnych w jednostce. To on tworzy warunki organizacyjne i podejmuje decyzje mieszczące się w jego kompetencjach, w tym dotyczące dopuszczania osób do pracy z informacjami niejawnymi.

Pełnomocnik ochrony organizuje system ochrony w jednostce, prowadzi albo koordynuje czynności związane z dopuszczaniem osób, pilnuje szkoleń i dokumentacji. Przy cudzoziemcach jego rola jest szczególnie praktyczna: musi wychwycić, że sprawa nie jest zwykłym dopuszczeniem pracownika z działu technicznego.

ABW albo SKW występują tam, gdzie przepisy przewidują udział właściwej służby. W sprawach wojskowych właściwa będzie co do zasady SKW, w pozostałych ABW, ale kwalifikację konkretnego przypadku trzeba ustalić według charakteru jednostki, informacji i zadania.

Jeżeli w sprawie pojawia się informacja zagraniczna, NATO, UE albo umowa międzynarodowa, dochodzi jeszcze kanał bezpieczeństwa właściwy dla takiej informacji. Wtedy jednostka nie powinna sama „uznawać” zagranicznego dokumentu bezpieczeństwa bez sprawdzenia, czy jest on skuteczny w danym zakresie.

Poświadczenie, upoważnienie i szkolenie

Dla informacji o klauzuli poufne lub wyższej standardem jest poświadczenie bezpieczeństwa odpowiednie do klauzuli. Dla informacji zastrzeżonych ustawa przewiduje odrębny, prostszy model dopuszczenia, ale nadal wymaga on formalnego działania jednostki i szkolenia.

W praktyce trzeba pilnować, aby dokument dostępu odpowiadał dokładnie zakresowi pracy. Jeżeli cudzoziemiec ma wejść do projektu z informacjami tajnymi, nie wystarczy wcześniejszy dostęp do informacji zastrzeżonych w innej komórce.

Szkolenie nie jest dodatkiem po podpisaniu papierów. Osoba ma wiedzieć przed pierwszym kontaktem z materiałem, jak rozpoznaje się klauzulę, jak działa ewidencja, czego nie wolno kopiować, gdzie wolno rozmawiać i jak zgłosić naruszenie.

Dobra praktyka: przy osobie, która nie posługuje się biegle językiem polskim, trzeba zapewnić szkolenie w sposób zrozumiały i udokumentować, w jakim języku je przeprowadzono. Jeżeli w szkoleniu albo pracy uczestniczy tłumacz i poznaje informacje niejawne, jego dostęp też musi być uregulowany.

Więcej o samym szkoleniu, bez wchodzenia w wątek cudzoziemców, znajduje się w opracowaniu szkolenie z ochrony informacji niejawnych.

Umowy międzynarodowe, NATO i UE

Dostęp cudzoziemca do polskich informacji niejawnych trzeba odróżnić od dostępu do informacji niejawnych NATO, UE albo informacji przekazanych Polsce przez inne państwo. Te porządki mogą się spotkać w jednym projekcie, ale nie są tym samym.

Przy informacjach NATO i UE znaczenie mają przepisy organizacji oraz krajowe procedury ich wykonywania. Dla informacji niejawnych UE podstawowym aktem jest między innymi decyzja Rady 2013/488/UE w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE.

W projektach NATO lub UE często potrzebne jest potwierdzenie, że dana osoba ma odpowiedni status bezpieczeństwa uznawany w danym obiegu. Polskie poświadczenie może być elementem tej ścieżki, ale samo okazanie dokumentu kierownikowi projektu nie załatwia sprawy.

Umowy międzynarodowe o wzajemnej ochronie informacji niejawnych regulują między innymi zasady przekazywania informacji, równoważność klauzul, kanały przekazywania, wizyty, podwykonawców i obowiązki stron. Jeżeli nie ma podstawy do przekazania informacji podmiotowi albo osobie z danego państwa, poświadczenie tej osoby nie tworzy takiej podstawy samodzielnie.

Pułapka z praktyki: zagraniczny partner przysyła informację, że jego pracownik ma „clearance”. To trzeba przełożyć na konkrety: jaki poziom, jaki kraj, jaki organ, do kiedy, do jakiego typu informacji, czy dokument jest potwierdzony właściwym kanałem oraz czy obejmuje projekt, w którym ma nastąpić dostęp.

Firmy z kapitałem zagranicznym

Kapitał zagraniczny w spółce nie oznacza automatycznie, że cudzoziemcy z grupy kapitałowej mogą znać informacje niejawne. Nie ma też zasady odwrotnej, sam zagraniczny udziałowiec nie wyklucza udziału przedsiębiorcy w umowie niejawnej.

W bezpieczeństwie przemysłowym bada się przedsiębiorcę, jego zdolność do ochrony informacji, strukturę właścicielską, osoby mające wpływ na działalność i organizację ochrony. Przy zarządach międzynarodowych praktyczny problem pojawia się szybko: kto podpisuje ofertę, kto negocjuje warunki techniczne, kto zatwierdza budżet, kto ma dostęp do systemu i kto widzi korespondencję niejawną.

Nie każdy członek zarządu musi znać treść dokumentacji niejawnej. Jeżeli jednak jego obowiązki faktycznie tego wymagają, trzeba przejść normalną ścieżkę dopuszczenia, zamiast zakładać, że funkcja korporacyjna wystarczy.

W grupach kapitałowych częsty jest nacisk na raportowanie do centrali. Informacji niejawnych nie wolno przenosić do standardowego raportu grupowego tylko dlatego, że centrala finansuje projekt albo właściciel oczekuje pełnej widoczności.

Przy umowach niejawnych i podwykonawcach warto osobno sprawdzić obowiązki wykonawcy, bo dostęp cudzoziemca może wynikać nie tylko z zatrudnienia, lecz także z łańcucha realizacji zamówienia. Ten wątek rozwija opracowanie o podwykonawcach w umowach niejawnych.

Co sprawdzić przed pierwszym dostępem

W dokumentacji jednostki powinien zostać ślad, dlaczego cudzoziemiec został dopuszczony i do czego. Przy kontroli problemem nie jest tylko brak dokumentu, lecz także dokument ogólny, z którego nie wynika zakres dostępu.

Przed pierwszym udostępnieniem informacji trzeba mieć co najmniej ustalone:

• dane identyfikujące osobę, obywatelstwo albo obywatelstwa oraz podstawę współpracy z jednostką,
• zadanie, które uzasadnia dostęp,
• klauzulę i rodzaj informacji,
• okres, w którym dostęp jest potrzebny,
• dokument potwierdzający dopuszczenie na właściwym poziomie,
• potwierdzenie szkolenia,
• miejsce i sposób pracy z materiałami,
• osobę odpowiedzialną za nadzór merytoryczny i organizacyjny,
• zasady zakończenia dostępu po wykonaniu zadania.

Dobra praktyka: przy projektach krótkich albo wizytach technicznych sporządza się krótką notatkę dostępową lub kartę uzgodnień. Nie chodzi o mnożenie papieru, tylko o to, żeby po trzech miesiącach było jasne, dlaczego dana osoba weszła do pomieszczenia, jakie dokumenty mogła poznać i kto to zatwierdził.

Systemy, kancelaria i wizyty

Jeżeli cudzoziemiec ma pracować w systemie teleinformatycznym przetwarzającym informacje niejawne, dostęp osobowy musi być spójny z dostępem technicznym. Konto w systemie nie może wyprzedzać poświadczenia, upoważnienia, szkolenia ani decyzji o zakresie pracy.

W dokumentacji systemu powinno być jasne, kto może korzystać ze stanowiska, jakie ma uprawnienia, jak jest identyfikowany i jak rozlicza się jego czynności. Tymczasowe konto „dla gościa z centrali” to typowy błąd, zwłaszcza gdy nikt nie potrafi później wskazać, jakie pliki były dostępne.

W kancelarii tajnej albo innym punkcie ewidencyjnym obowiązują te same zasady ewidencji, pokwitowań, udostępniania i zwrotu materiałów. Cudzoziemiec nie powinien otrzymywać materiału poza obiegiem dlatego, że jest tylko na jednodniowej wizycie.

Przy wizytach zagranicznych trzeba odróżnić oprowadzenie po części jawnej od rozmów i prezentacji, w których padają informacje niejawne. Sala, lista uczestników, materiały, notatki, nośniki i tłumaczenie muszą być przygotowane wcześniej, nie w chwili wejścia delegacji.

Typowe błędy

Najczęściej sypią się nie przepisy, tylko organizacja. Poniższe błędy powtarzają się w jednostkach publicznych i w przedsiębiorstwach.

• Dopuszczenie cudzoziemca na podstawie stanowiska w grupie kapitałowej, bez analizy potrzeby dostępu.
• Uznanie zagranicznego clearance bez potwierdzenia jego zakresu i trybu użycia.
• Brak rozróżnienia między informacją polską, NATO, UE i informacją przekazaną przez inne państwo.
• Szkolenie przeprowadzone formalnie, ale w języku niezrozumiałym dla osoby szkolonej.
• Wydanie konta w systemie niejawnym przed zamknięciem sprawy dostępowej.
• Udostępnienie materiałów tłumaczowi, asystentowi lub konsultantowi bez osobnego uregulowania jego dostępu.
• Raportowanie treści niejawnych do zagranicznej centrali w zwykłym obiegu korporacyjnym.
• Brak decyzji, kiedy dostęp wygasa i kto odbiera materiały, identyfikatory oraz uprawnienia.

Przy kontroli organ zwykle nie zaczyna od deklaracji, że „wszyscy wiedzieli, co robią”. Sprawdza dokumenty, zakresy obowiązków, listy szkoleń, ewidencję materiałów, uprawnienia w systemach i zgodność faktycznego obiegu z dokumentacją.

Czego ten tekst nie rozstrzyga

Nie da się ogólnie przesądzić, czy konkretny cudzoziemiec dostanie poświadczenie bezpieczeństwa albo czy dana umowa międzynarodowa pozwala na przekazanie określonej informacji. O tym decyduje właściwy tryb, właściwy organ i stan faktyczny.

Osobno trzeba analizować przypadki osób z podwójnym obywatelstwem, pracowników delegowanych, członków zarządu spółek zależnych, konsultantów zagranicznych, tłumaczy i personelu serwisowego. Każda z tych ról daje inny zakres potrzeby dostępu i inne ryzyka organizacyjne.

Jeżeli informacja pochodzi od NATO, UE albo obcego państwa, trzeba sprawdzić reguły oznaczenia, przekazywania i dalszego udostępniania. Polskie przepisy są wtedy tylko częścią odpowiedzi.

Podsumowanie

Cudzoziemiec może uzyskać dostęp do informacji niejawnych w Polsce, ale tylko po spełnieniu warunków właściwych dla klauzuli, zadania i źródła informacji. Obywatelstwo nie zastępuje poświadczenia, a poświadczenie nie zastępuje zasady wiedzy koniecznej.

W praktyce najważniejsze jest ustalenie podstawy dostępu przed rozpoczęciem pracy: kto ma poznać informację, po co, na jakim poziomie, w jakim miejscu i przez jaki czas. Przy projektach międzynarodowych trzeba dodatkowo sprawdzić umowy, reguły NATO lub UE oraz kanał potwierdzania uprawnień.

Najbezpieczniejsza organizacyjnie ścieżka to decyzja udokumentowana przed pierwszym kontaktem z materiałem niejawnym. Jeżeli dokumentacja powstaje dopiero po wizycie, spotkaniu albo udostępnieniu konta w systemie, jednostka zwykle nie porządkuje formalności, tylko naprawia naruszenie.