MON i Palantir. RPO pyta: kto kontroluje dane obywateli?

Nowoczesna armia, sztuczna inteligencja i granice konstytucyjnej ochrony prywatności

Współpraca Ministerstwa Obrony Narodowej z amerykańskim koncernem Palantir Technologies znalazła się w zainteresowaniu Rzecznika Praw Obywatelskich. Sprawa dotyczy nie tylko wykorzystania zaawansowanych technologii w polskiej armii, lecz także fundamentalnego pytania: jak daleko państwo może posunąć się w gromadzeniu i analizowaniu danych w imię bezpieczeństwa narodowego?

W wystąpieniu z 8 października 2026 r., opublikowanym 26 października, Rzecznik Praw Obywatelskich Sylwia Gregorczyk-Abram zwróciła się do ministra obrony narodowej Władysława Kosiniaka-Kamysza o szczegółowe wyjaśnienia dotyczące zakresu współpracy z Palantirem, podstaw prawnych przetwarzania danych oraz mechanizmów ochrony prywatności obywateli.

Palantir – technologia, która wie więcej

Palantir Technologies to amerykańskie przedsiębiorstwo tworzące zaawansowane systemy informatyczne umożliwiające łączenie, przetwarzanie i analizowanie ogromnych zbiorów danych. Z jego rozwiązań korzystają m.in. instytucje obronne, służby bezpieczeństwa i przedsiębiorstwa.

Siła tych technologii polega na możliwości zestawiania informacji pochodzących z różnych, pozornie niepowiązanych źródeł. System może wykrywać zależności, identyfikować wzorce oraz wspomagać podejmowanie decyzji. Takie możliwości mają ogromne znaczenie w wojskowości, logistyce i cyberbezpieczeństwie.

Jednocześnie pojawia się pytanie, czy wykorzystanie podobnych narzędzi do analizy danych osobowych nie stwarza ryzyka nadmiernego profilowania jednostek oraz budowania szczegółowych obrazów ich aktywności i powiązań. Samo zastosowanie takiej technologii nie oznacza jednak, że dochodzi do masowej inwigilacji.

Umowa MON z Palantirem. Co rzeczywiście podpisano?

Współpraca MON z Palantirem została formalnie zapoczątkowana 23 grudnia 2024 r. podpisaniem memorandum dotyczącego cyberbezpieczeństwa i technologii informacyjnych. Następnie, 27 października 2025 r., strony podpisały list intencyjny dotyczący wykorzystania sztucznej inteligencji oraz rozwoju zdolności technologicznych polskiego wojska.

22 października 2026 r. RMF FM ujawniło, że równolegle z memorandum podpisano również nieogłoszoną wcześniej publicznie umowę o poufności. Dokument przewiduje możliwość wymiany informacji poufnych w związku ze współpracą technologiczną, testami i szkoleniami.

MON zapewnia, że Palantirowi nie przekazano żadnych informacji niejawnych, a podczas warsztatów wykorzystywano jedynie fikcyjne dane testowe oraz informacje pochodzące ze źródeł ogólnodostępnych.

Należy przy tym odróżnić informacje poufne w rozumieniu umowy cywilnoprawnej od informacji niejawnych chronionych na podstawie odrębnych przepisów. Samo podpisanie umowy o poufności nie dowodzi przekazania danych obywateli ani informacji niejawnych. Nie stanowi również samodzielnej podstawy prawnej ich udostępnienia.

RPO pyta o dane obywateli i granice nadzoru

Impulsem do interwencji RPO było wystąpienie przedstawicieli inicjatywy „Nasze dane”, którzy zwrócili uwagę na ryzyka związane z przetwarzaniem informacji przez zagranicznego dostawcę technologii.

Rzecznik zwróciła się do MON z pytaniami, czy przeprowadzono analizę zagrożeń dla prywatności, czy zawarto umowę wykonawczą regulującą zasady przetwarzania danych oraz czy współpraca może obejmować wykrywanie przestępczości i zagrożeń dla bezpieczeństwa publicznego. Szczególnie istotne jest ustalenie, czy Palantir będzie uprawniony do samodzielnego pozyskiwania i łączenia danych osobowych, czy wyłącznie do analizowania zbiorów udostępnionych przez uprawnione polskie organy.

RPO chce również wiedzieć, czy przewiduje się zautomatyzowane i generalne przetwarzanie informacji.

Wystąpienie nie przesądza o naruszeniu prawa. Wskazuje natomiast obszary, w których konieczne jest określenie rzeczywistego zakresu współpracy oraz odpowiedzialności za przetwarzane dane.

Konstytucja RP wyznacza granice

Zasadniczym punktem odniesienia pozostają art. 47 i art. 51 Konstytucji RP, gwarantujące ochronę życia prywatnego oraz autonomię informacyjną jednostki.

Szczególne znaczenie ma art. 51 ust. 2 Konstytucji, zgodnie z którym władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym.

Oznacza to, że nawet gdy państwo działa w celu ochrony bezpieczeństwa narodowego, zakres ingerencji w prywatność musi pozostawać zgodny z zasadą proporcjonalności wynikającą z art. 31 ust. 3 Konstytucji. Ograniczenia praw i wolności wymagają odpowiedniej podstawy ustawowej i nie mogą wykraczać poza to, co konieczne do osiągnięcia prawnie uzasadnionego celu.

RPO przywołała w tym kontekście wyroki Trybunału Konstytucyjnego z 20 listopada 2002 r. (K 41/02) i 30 lipca 2014 r. (K 23/11). Wynika z nich istotna zasada: uprawnienia państwa do pozyskiwania informacji o jednostce nie mogą być uzasadniane wyłącznie organizacyjną wygodą organów publicznych.

Czy RODO i AI Act mają zastosowanie do wojska?

Ochrona danych w obszarze obronności jest bardziej złożona niż w zwykłych relacjach między przedsiębiorcą a obywatelem.

Zgodnie z art. 2 ust. 2 lit. a RODO rozporządzenie nie ma zastosowania do przetwarzania danych w ramach działalności pozostającej poza zakresem prawa Unii Europejskiej, do której należy bezpieczeństwo narodowe. Nie oznacza to jednak, że każda operacja na danych wykonywana przez MON jest automatycznie wyłączona spod RODO. Decydujący jest rzeczywisty charakter i cel przetwarzania.

Podobne rozróżnienie przewiduje unijny AI Act. Artykuł 2 ust. 3 rozporządzenia 2024/1689 wyłącza z jego zakresu systemy AI wykorzystywane wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego. Jeżeli jednak technologia byłaby wykorzystywana również do celów cywilnych, wykrywania przestępstw lub bezpieczeństwa publicznego, jej zastosowanie wymagałoby odrębnej oceny prawnej.

Dlatego pytanie RPO o ewentualne wykorzystywanie Palantira do wykrywania przestępczości ma szczególne znaczenie. Może bowiem prowadzić do konieczności stosowania innych regulacji niż te właściwe wyłącznie dla obronności.

Zagraniczny dostawca i kontrola nad informacjami

Dodatkowe wątpliwości wynikają z faktu, że Palantir jest spółką amerykańską, a więc podlega również określonym regulacjom prawa Stanów Zjednoczonych. W debacie publicznej wskazuje się w tym kontekście m.in. na CLOUD Act, który w przewidzianych prawem przypadkach umożliwia amerykańskim organom występowanie do dostawców usług o udostępnienie określonych danych.

Nie oznacza to automatycznego dostępu amerykańskich służb do danych polskiego wojska ani nie przesądza, że Palantir dysponuje takimi informacjami. Powstaje jednak uzasadnione pytanie o sposób przechowywania danych, uprawnienia dostawcy do dostępu do nich, zabezpieczenia kontraktowe i techniczne oraz możliwość niezależnego audytu.

Z prawnego punktu widzenia równie ważne jest ustalenie, kto sprawuje rzeczywistą kontrolę nad zbiorami danych, kto decyduje o ich wykorzystaniu i czy dostawca może używać ich do innych celów, w szczególności rozwoju własnych systemów.

Od Pegasusa do Palantira – jedno pytanie o prywatność

Palantir i Pegasus to dwie zasadniczo różne technologie, ale obie mogą być wykorzystywane do bardzo daleko idącej ingerencji w prywatność obywateli. Różnica polega przede wszystkim na sposobie uzyskiwania informacji i ich późniejszego wykorzystywania.

Pegasus służy do przejmowania kontroli nad urządzeniem i pozyskiwania z niego informacji. Palantir pozwala natomiast łączyć, analizować i interpretować ogromne ilości danych pochodzących z wielu różnych źródeł.

1. Palantir a Pegasus – najważniejsze różnice

Palantir rozwija między innymi platformy Gotham, Foundry i AIP. Ich funkcje obejmują analizowanie danych i wspomaganie podejmowania decyzji. Pegasus firmy NSO Group jest natomiast narzędziem ofensywnej inwigilacji cyfrowej.

2. Czy Palantir może być groźniejszy niż Pegasus?

Pod pewnymi względami tak, choć nie dlatego, że działa jak oprogramowanie szpiegowskie.

Wyobraźmy sobie, że określona instytucja posiada legalny dostęp do danych dotyczących obywatela: jego pojazdów, nieruchomości, działalności gospodarczej, podróży czy powiązań z innymi osobami.

Palantir może technicznie umożliwić zestawienie takich informacji, odkrycie zależności i opracowanie profilu analitycznego, jeżeli odpowiednie dane zostały udostępnione systemowi.

Największe zagrożenie polega więc niekoniecznie na nielegalnym zdobyciu pojedynczej informacji, lecz na połączeniu tysięcy informacji w szczegółowy obraz życia konkretnego człowieka.

Każda informacja rozpatrywana oddzielnie może mieć legalne źródło. Nie oznacza to jednak automatycznie, że ich masowe łączenie, profilowanie obywateli i wyciąganie nowych wniosków jest zgodne z prawem.

To zasadnicza różnica względem Pegasusa: tam podstawowym problemem jest ingerencja w urządzenie, tutaj – możliwość bardzo szerokiej kontroli informacyjnej nad człowiekiem.

3. Dlaczego porównanie jest szczególnie aktualne?

12 października 2026 r. Prokuratura Krajowa opublikowała ustalenia biegłych Agencji Bezpieczeństwa Wewnętrznego dotyczące funkcjonowania i bezpieczeństwa systemu Pegasus. Wynika z nich między innymi, że Centralne Biuro Antykorupcyjne nie miało pełnej kontroli nad systemem, dane przesyłane przez oprogramowanie opuszczały terytorium Polski, a producent miał techniczną możliwość dostępu do materiałów pochodzących z kontroli operacyjnych.

Biegli nie przesądzili jednak, czy producent faktycznie uzyskał dostęp do materiałów pochodzących z konkretnych kontroli.

To nadaje szczególne znaczenie pytaniom dotyczącym Palantira. Istotne staje się bowiem nie tylko to, jakie dane będą analizowane przez system, ale również kto będzie sprawował rzeczywistą kontrolę nad ich przetwarzaniem, przechowywaniem i udostępnianiem.

4. Czy Pegasus i Palantir mogą ze sobą współdziałać?

Technicznie tak. Dane pozyskane za pomocą jednego narzędzia mogłyby zostać przekazane do odrębnego systemu analitycznego, który zestawiłby je z innymi informacjami.

Przykładowo informacje pozyskane za pomocą Pegasusa mogłyby zostać poddane analizie z wykorzystaniem technologii Palantira, umożliwiającej identyfikowanie powiązań między osobami, zdarzeniami i innymi danymi. Takie połączenie mogłoby prowadzić do stworzenia znacznie bardziej szczegółowego obrazu aktywności konkretnej osoby niż ten, który wynikałby z samych danych uzyskanych z jej telefonu.

Nie oznacza to jednak, że Pegasus i Palantir są ze sobą zintegrowane albo że takie rozwiązanie zastosowano w Polsce. Brak jest potwierdzonych informacji wskazujących na tego rodzaju współdziałanie obu technologii.

Doświadczenia związane z Pegasusem pokazują, że w demokratycznym państwie prawnym nie wystarczy wiedzieć, do czego technologia jest zdolna. Trzeba przede wszystkim wiedzieć, kto ją kontroluje i jakie istnieją gwarancje, że nie zostanie wykorzystana przeciwko obywatelom.

Bezpieczeństwo państwa nie wyklucza ochrony prywatności

Wykorzystanie zaawansowanej analityki danych i sztucznej inteligencji może istotnie zwiększać zdolności obronne państwa. Nowoczesne systemy pozwalają szybciej rozpoznawać zagrożenia, analizować informacje operacyjne i usprawniać logistykę wojskową. Nie ma zatem podstaw, aby samą współpracę z zagraniczną firmą technologiczną utożsamiać z naruszeniem praw obywatelskich.

Jednak skuteczność technologii nie zastępuje podstawy prawnej jej stosowania, a bezpieczeństwo narodowe nie stanowi nieograniczonego upoważnienia do ingerencji w prywatność.

Na dzień 26 października 2026 r. publicznie dostępne informacje nie pozwalają stwierdzić, aby Palantir uzyskał dostęp do rzeczywistych zbiorów danych osobowych obywateli w ramach współpracy z MON. Nie rozstrzygają również wszystkich pytań dotyczących przyszłego wykorzystania tej technologii.

Zasadnicze znaczenie będzie zatem miała odpowiedź resortu obrony na wystąpienie RPO. To ona powinna wyjaśnić, czy i jakie dane mogą być przetwarzane, jakie zabezpieczenia przewidziano oraz czy istnieją skuteczne mechanizmy kontroli.

Państwo musi dysponować nowoczesnymi narzędziami obrony. Musi jednak również zagwarantować, że technologia służąca ochronie bezpieczeństwa nie stanie się instrumentem niekontrolowanej ingerencji w prawa jednostki.

adwokat Barbara Kardynia

Źródła

Rzecznik Praw Obywatelskich – współpraca MON z Palantirem, 26.10.2026 (wystąpienie z 8.10.2026, sygn. VII.501.141.2026);
MON – list intencyjny z Palantir Technologies, 27.10.2025;
RMF FM – ustalenia dotyczące umowy o poufności, 22.10.2026;
Prokuratura Krajowa – opinie biegłych ABW dotyczące Pegasusa, 12.10.2026;
Konstytucja RP; rozporządzenie (UE) 2016/679 (RODO); rozporządzenie (UE) 2024/1689 (AI Act).