Moja pierwsza skarga DSA do UKE

@lesiopm2 w swojej nieocenionej pigule wiadomości ze świata technologicznego wspomniał, że UKE rozpoczął przyjmowanie skarg wynikających z Digital Service Act (DSA). Postanowiłem więc, to wypróbować.

Niedawno utworzyłem (może bardziej zvibekodowałem) aplikację HiveCensus. Tutaj możecie znaleźć post z prapremierą a tutaj dla fanów technicznego żargonu dokumentacja.
Zachęcam też do odwiedzenia samej apki https://app.hive-census.workers.dev Można na niej zaznaczyć swoją lokalizację, albo spojrzeć na lokalizację, jaką podawali użytkownicy w danych konta (dopiero 300 tys. kont przeskanowanych, ale już można pewne wnioski wyciągać).

W każdym razie projekt miał być w założeniu OpenSource i chciałem do jego implementacji wykorzystać GitHuba. GitHub świadczy usługi hostingu repozytoriów kodu źródłowego, które potem dana apka ściąga i wykorzystuje, ściąga przy wdrożeniu. Po utworzeniu i uruchomieniu aplikacji nie zaglądałem na Githuba (skupiłem się na tym, czy Cloudflare działa i czy nie jest czasem obciążany zbyt dużą ilością zapytań/zadań). Wczoraj jednakże chciałem coś sprawdzić i moim oczom ukazał się komunikat:

Spradzam maila, jedyne maile od githuba to te na etapie zakładania konta. Sprawdzam konto użytkownika i sprawdzam link do repozytorium. Wszędzie błędy 404. Oczywiście nigdzie żadnego wyjaśnienia, który z warunków świadczenia usługi naruszyłem. Tym bardziej też nie otrzymałem żadnego ostrzeżenia.

Złożyłem odwołanie od decyzji GitHuba, chociaz dobrze wiemy, gdzie trafiają takie odwołania i nie podejrzewam, że uda się odzyskać konto. Ważne, że apka działa, choć chyba jeśli chciałbym coś w niej zmienić to będę musiał zmienić usługodawcę np. na GitLaba.

Wkurzyło mnie to, bo tak naprawdę nie mam żadnej kompletnej kopii zapasowej.

Trafił mi się wiec ten artykuł CyberSecurityDailyNews jak ślepej kurze ziarno. Postanowiłem napiszę skargę.

Na stronie UKE odkryłem formularz, logowanie mObywatelem nie powiodło się, początkowo bankowość elektroniczna również nie zadziałała. Utworzyłem konto, które potwem potwierdziłem za pomocą profilu zaufanego w bankowości elektronicznej.

UKE będzie musiał popracować trochę nad interfejsem, ponieważ wypełniając skargę nie wszystkie pola obowiązkowe są widoczne i spędziłem chyba pół godziny na poszukiwaniu, gdzie popełniam błąd. Okazało się, że jednym z obowiązkowych pól było:

Następnie skargę podpisałem podpisem kwalifikowanym i cyk skarga złożona. Moim zdaniem bardzo trudne (bo też nie znamy jeszcze praktyki działania tych przepisów) jest wskazanie konkretnego naruszenia i jego podstawy prawnej. Ja zaznaczyłem:

art. 14 ust. 4 rozporządzenia DSA - Niestosowanie lub nieegzekwowanie ograniczeń określonych w warunkach korzystania z usługi w sposób staranny, obiektywny i proporcjonalny, z należytym uwzględnieniem praw i uzasadnionych interesów stron
art. 17 ust. 3-4 rozporządzenia DSA - Brak wymaganych informacji w uzasadnieniu decyzji lub brak informacji o możliwości odwołania się od niej
art. 20 ust. 5 rozporządzenia DSA - Brak lub niewystarczające uzasadnienie decyzji w sprawie skargi lub brak informacji o możliwości dalszego
odwołania

Mam nadzieję, że ten pola mają tylko stanowić pomoc dla urzędników, by od razu mogli przystąpić do analizy skargi a nie - jak to często w Polsce bywa - zaznaczył pan nie ten ptaszek i nic nie możemy zrobić.
Zobaczymy, jak działa ta procedura i jakie efekty pozwoli osiągnąć.
Żałuję, że to nie weszło wcześniej. Będę informować.

Wyciąg ze skargi:

Działając na podstawie art. 53 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2065 z dnia 19 października 2022 r. w sprawie jednolitego rynku usług cyfrowych i zmieniającego dyrektywę 2000/31/WE (akt o usługach cyfrowych), niniejszym wnoszę skargę na działania GitHub, Inc., polegające na zawieszeniu mojego konta w serwisie GitHub bez przekazania mi informacji o konkretnych przyczynach zastosowanego ograniczenia. Wnoszę o: 1. Przyjęcie niniejszej skargi i zbadanie, czy działania GitHub, Inc. pozostają zgodne z obowiązkami wynikającymi z rozporządzenia 2022/2065, w szczególności z art. 17 i art. 20 DSA. 2. Ustalenie, czy GitHub, Inc. przekazał mi wymagane prawem uzasadnienie decyzji o zawieszeniu konta, a jeśli nie, czy doszło do naruszenia art. 17 DSA. 3. Zbadanie, czy zapewniono mi dostęp do skutecznego wewnętrznego systemu rozpatrywania skarg, umożliwiającego zakwestionowanie decyzji o zawieszeniu konta, zgodnie z art. 20 DSA. 4. Podjęcie działań przewidzianych przepisami DSA, stosownie do właściwości organu, w tym przekazanie skargi
właściwemu koordynatorowi ds. usług cyfrowych w państwie członkowskim siedziby dostawcy, jeżeli będzie to konieczne. 5. Poinformowanie mnie o sposobie rozpatrzenia skargi oraz podjętych działaniach. Uzasadnienie Jestem użytkownikiem serwisu GitHub, prowadzonego przez GitHub, Inc., w którym utrzymywałem repozytoria związane z rozwijanymi przeze mnie projektami informatycznymi, w tym projektem Hive Census. Hive Census jest projektem typu open source, którego celem jest analiza publicznie dostępnych informacji o deklarowanych lokalizacjach użytkowników blockchaina Hive, ich standaryzacja oraz prezentacja na interaktywnej mapie. Projekt ma charakter niekomercyjny i służy społeczności użytkowników blockchaina Hive, a jego kod źródłowy był udostępniany za pośrednictwem serwisu GitHub. W dniu 6.11.2026 stwierdziłem, że moje konto w serwisie GitHub zostało zawieszone. Nie otrzymałem żadnej wiadomości e-mail zawierającej informację o zawieszeniu konta ani wyjaśnienie przyczyn zastosowanego ograniczenia. W szczególności nie zostałem poinformowany: - jakie konkretne działanie lub zaniechanie miało stanowić podstawę zawieszenia konta; - które postanowienia regulaminu serwisu GitHub miałem naruszyć; - czy decyzja została podjęta w wyniku automatycznego wykrywania naruszeń; - czy zastosowany środek ma charakter czasowy, czy bezterminowy; - w jaki sposób mogę skutecznie zakwestionować decyzję o zawieszeniu konta. W konsekwencji zostałem pozbawiony możliwości odniesienia się do zarzutów, których treści nawet nie znam. I. Naruszenie art. 17 DSA – obowiązek przedstawienia uzasadnienia decyzji Zgodnie z art. 17 ust. 1 DSA dostawcy usług hostingu zobowiązani są do przedstawienia wszystkim zainteresowanym odbiorcom usługi jasnego i konkretnego uzasadnienia w przypadku nałożenia określonych ograniczeń z uwagi na nielegalny charakter informacji przekazywanych przez odbiorcę usługi lub ich niezgodność z warunkami korzystania z usługi. Obowiązek ten obejmuje między innymi zawieszenie lub zakończenie świadczenia usługi w całości albo w części, jak również zawieszenie lub zamknięcie konta odbiorcy usługi. Z kolei art. 17 ust. 3 DSA określa minimalne elementy uzasadnienia, w tym wskazanie rodzaju zastosowanego ograniczenia, okoliczności i faktów stanowiących podstawę decyzji, informacji o ewentualnym wykorzystaniu środków zautomatyzowanych oraz dostępnych środków odwoławczych. W moim przypadku nie przedstawiono mi jakiegokolwiek konkretnego uzasadnienia zawieszenia konta. Nie wskazano również faktów ani okoliczności, które mogłyby stanowić podstawę tak daleko idącej ingerencji w możliwość korzystania z usługi. Podkreślenia wymaga, że sam fakt przyznania dostawcy usługi kompetencji do zawieszania kont na podstawie regulaminu nie zwalnia go z obowiązku przedstawienia uzasadnienia decyzji, jeżeli zastosowanie znajduje art. 17 DSA. Wobec powyższego zachodzi uzasadnione podejrzenie naruszenia art. 17 ust. 1 i 3 DSA. II. Naruszenie art. 20 DSA – prawo do zakwestionowania decyzji Art. 20 DSA nakłada na dostawców platform internetowych objętych zakresem tego przepisu obowiązek zapewnienia odbiorcom usługi dostępu do skutecznego wewnętrznego systemu rozpatrywania skarg. System ten powinien umożliwiać kwestionowanie określonych decyzji dotyczących
ograniczenia dostępu do informacji lub usług, w tym zawieszenia albo zamknięcia konta. Możliwość skutecznego zakwestionowania decyzji zakłada jednak, że użytkownik zna jej podstawę faktyczną i regulaminową. W przeciwnym razie postępowanie odwoławcze może mieć charakter jedynie formalny, ponieważ użytkownik nie jest w stanie przedstawić argumentów odnoszących się do konkretnych przyczyn zawieszenia. W moim przypadku brak jakiejkolwiek informacji o przyczynach zawieszenia konta uniemożliwia mi sformułowanie merytorycznego stanowiska wobec decyzji GitHub, Inc. Wnoszę zatem o zbadanie, czy sposób udostępnienia i funkcjonowania mechanizmów odwoławczych GitHub odpowiada wymaganiom art. 20 DSA, o ile przepis ten znajduje zastosowanie do przedmiotowej usługi i decyzji. III. Naruszenie zasady przejrzystości działań dostawcy usługi Rozporządzenie DSA ustanawia standard przejrzystości i rozliczalności działań dostawców usług pośrednich. Zawieszenie konta użytkownika bez wskazania przyczyn zastosowanego ograniczenia pozostaje w sprzeczności z celami regulacji, której zadaniem jest między innymi zapewnienie użytkownikom odpowiednich gwarancji proceduralnych. W szczególności użytkownik powinien mieć możliwość ustalenia, czy decyzja została podjęta na podstawie konkretnych postanowień regulaminu, czy też w związku z domniemanym naruszeniem przepisów prawa. Nie można wymagać od użytkownika, aby domyślał się przyczyn zawieszenia konta lub podejmował próby ich ustalenia metodą eliminowania potencjalnych naruszeń. IV. Skutki zawieszenia konta Zawieszenie konta GitHub ma dla mnie wymierne konsekwencje. Serwis ten wykorzystywałem do utrzymywania i rozwijania projektów informatycznych, w tym projektu Hive Census. Ograniczenie dostępu do konta wpływa na możliwość dalszego prowadzenia prac, publikowania aktualizacji kodu źródłowego oraz udostępniania rezultatów projektu innym użytkownikom. Jednocześnie brak uzasadnienia decyzji uniemożliwia mi ustalenie, czy zawieszenie konta było wynikiem rzeczywistego naruszenia regulaminu, błędu automatycznego systemu moderacji, czy też innych okoliczności. Nie kwestionuję co do zasady uprawnienia dostawcy usługi do reagowania na naruszenia prawa lub regulaminu.
Kwestionuję natomiast sposób wykonania tego uprawnienia, polegający na zastosowaniu daleko idącego ograniczenia bez przekazania użytkownikowi informacji pozwalających zrozumieć i zakwestionować podjętą decyzję. V. Właściwość organu Stosownie do art. 53 DSA odbiorcy usług mają prawo wniesienia skargi do koordynatora ds. usług cyfrowych państwa członkowskiego, w którym odbiorca usługi ma miejsce zamieszkania lub siedzibę, w przypadku domniemanego naruszenia rozporządzenia przez dostawcę usług pośrednich. Jako osoba mająca miejsce zamieszkania na terytorium Rzeczypospolitej Polskiej korzystam z uprawnienia przewidzianego tym przepisem. W przypadku uznania, że rozpatrzenie sprawy należy do właściwości koordynatora ds. usług cyfrowych innego państwa członkowskiego, wnoszę o przekazanie skargi zgodnie z mechanizmem współpracy przewidzianym w art. 53 DSA. Podsumowanie W mojej ocenie opisane działania GitHub, Inc. uzasadniają zbadanie zgodności zastosowanego ograniczenia z obowiązkami wynikającymi z DSA. Istotą skargi nie jest żądanie automatycznego przywrócenia konta, lecz zapewnienie realizacji obowiązków proceduralnych dostawcy usługi, w szczególności obowiązku
przedstawienia konkretnego uzasadnienia decyzji oraz zapewnienia skutecznej możliwości jej zakwestionowania. Wnoszę o podjęcie działań w granicach kompetencji organu.

Dlaczego opisane zdarzenie stanowi naruszenie obowiązków wynikających z rozporządzenia DSA? Argumenty i uzasadnienie

Opisane zdarzenie stanowi w mojej ocenie naruszenie obowiązków wynikających z art. 17 ust. 1 i 3 oraz art. 14 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2065 (DSA). GitHub zawiesił moje konto, za pośrednictwem którego prowadziłem działalność związaną z tworzeniem i udostępnianiem oprogramowania open source, w tym projektu Hive Census. Pomimo zastosowania tak daleko idącego ograniczenia nie otrzymałem żadnej
wiadomości e-mail informującej o przyczynach zawieszenia konta. Nie przedstawiono mi również konkretnego uzasadnienia decyzji w inny sposób. Zgodnie z art. 17 ust. 1 DSA dostawca usług hostingu zobowiązany jest do przedstawienia odbiorcy usługi jasnego i konkretnego uzasadnienia decyzji o zastosowaniu określonych ograniczeń, w tym zawieszeniu lub zamknięciu konta, jeżeli decyzja została podjęta z uwagi na nielegalny charakter informacji przekazanych przez użytkownika lub ich niezgodność z warunkami korzystania z usługi. Art. 17 ust. 3 DSA określa wymagane elementy takiego uzasadnienia, obejmujące między
innymi wskazanie rodzaju ograniczenia, faktów i okoliczności stanowiących podstawę decyzji, informacji o ewentualnym wykorzystaniu środków zautomatyzowanych oraz dostępnych możliwości odwołania. W moim przypadku nie wskazano, jakie konkretnie działania miały stanowić naruszenie regulaminu
GitHub, jakie postanowienia regulaminu zastosowano ani jakie okoliczności uzasadniały zawieszenie konta. Nie poinformowano mnie również, czy decyzja została podjęta z wykorzystaniem zautomatyzowanych środków. Brak uzasadnienia uniemożliwia mi merytoryczne odniesienie się do przyczyn zawieszenia oraz
skuteczne zakwestionowanie decyzji. Ponadto art. 14 ust. 4 DSA zobowiązuje dostawców usług pośrednich do stosowania i egzekwowania ograniczeń wynikających z warunków korzystania z usług w sposób staranny, obiektywny i proporcjonalny, z należytym uwzględnieniem praw i uzasadnionych interesów
wszystkich zaangażowanych stron. Całkowite zawieszenie konta bez przedstawienia użytkownikowi jakiegokolwiek konkretnego uzasadnienia budzi uzasadnione wątpliwości co do dochowania tych standardów. Zawieszenie ograniczyło możliwość rozwijania i publicznego udostępniania projektów
informatycznych, a brak informacji o przyczynach decyzji uniemożliwia ocenę zasadności i proporcjonalności zastosowanego środka. Podkreślam, że nie kwestionuję samego uprawnienia dostawcy do przeciwdziałania naruszeniom regulaminu. Kwestionuję natomiast zastosowanie ograniczenia bez zapewnienia
podstawowych gwarancji proceduralnych przewidzianych w DSA. Wnoszę zatem o zbadanie, czy GitHub dopełnił obowiązków wynikających z art. 17 DSA oraz czy sposób zastosowania ograniczenia pozostawał zgodny z art. 14 ust. 4 DSA.