OSINT: czym jest wywiad z otwartych źródeł i gdzie są jego granice

Jawne nie znaczy błahe

Skrót OSINT pochodzi od angielskiego open-source intelligence, czyli wywiadu z otwartych źródeł. Słowo „otwarte” nie ma tu nic wspólnego z oprogramowaniem: chodzi o informacje, które nie są tajne i do których można dotrzeć bez łamania zabezpieczeń.^2,5

Amerykańskie Biuro Dyrektora Wywiadu Narodowego (ODNI) i CIA w strategii na lata 2024–2026, ogłoszonej 8 marca 2024 r., opisują OSINT jako wywiad oparty wyłącznie na informacjach dostępnych publicznie lub komercyjnie, który odpowiada na konkretne priorytety, wymagania lub luki wywiadowcze. Według tego dokumentu OSINT ma własną wartość i zarazem pomaga wszystkim pozostałym dyscyplinom zbierania.¹

Ważne jest zastrzeżenie o wymaganiach. Sama informacja publiczna – artykuł, zdjęcie, wpis w rejestrze – nie jest jeszcze wywiadem. Staje się nim dopiero wtedy, gdy ktoś ją zebrał, ocenił i opracował pod konkretne pytanie odbiorcy (zob. wymaganie wywiadowcze i cykl wywiadowczy).^1,5

Doktryna NATO AJP-2 (wydanie A z 2016 r.) definiuje OSINT jako wywiad z informacji publicznie dostępnych, a także z innych informacji jawnych, których obieg lub dostęp jest ograniczony. Do otwartych źródeł zalicza więc nie tylko to, co leży na wierzchu, ale też np. specjalistyczne publikacje o niewielkim zasięgu.²

Skąd pochodzi wiedza jawna

AJP-2 wymienia radio, telewizję, gazety, państwową propagandę, czasopisma i prace techniczne, internet, instrukcje techniczne i książki. Starsza strona ODNI „What is Intelligence?” dodaje komercyjne bazy danych oraz filmy, grafiki i rysunki.^2,5

To nie jest wynalazek epoki internetu. AJP-2 zauważa, że archiwa obfitują w dowody na to, że wspólnota wywiadowcza zawsze korzystała ze źródeł otwartych. Doktryna dodaje, że przepisy o dostępie do informacji publicznej otworzyły na świecie wiele dawnych tajemnic państw, a internet ułatwił dotarcie do tych zasobów.²

Według AJP-2 OSINT jest najbardziej prawdopodobnym źródłem wywiadu podstawowego, czyli ogólnej wiedzy o kraju lub środowisku: geografii, gospodarki, instytucji. Bywa też źródłem wywiadu bieżącego – doktryna przyznaje, że przy dzisiejszym sprzęcie reporterskim relacje telewizyjne zdarza się wykorzystywać do bieżących ocen.²

Kto zajmuje się OSINT w USA

Według ODNI zbieranie informacji jawnych jest w amerykańskiej wspólnocie wywiadowczej rozproszone. Głównymi zbierającymi były Open Source Center dyrektora wywiadu narodowego i National Air and Space Intelligence Center.⁵

Przewodnik ODNI z 2009 r. opisuje Open Source Center jako ośrodek, który zbiera, tłumaczy i opracowuje informacje jawne; funkcję jego agenta wykonawczego pełnił dyrektor CIA. Strategię OSINT na lata 2024–2026 ODNI i CIA wydały wspólnie, a ODNI pisze, że wspólnota od pewnego czasu modernizuje sposób zbierania, wytwarzania i dostarczania OSINT.^1,6

OSINT jest jedną z kilku dyscyplin, obok HUMINT, SIGINT, IMINT czy MASINT. Porównujemy je w tekście HUMINT, SIGINT, IMINT, OSINT: czym różnią się dyscypliny wywiadu.^2,5

Pierwsza granica: wiarygodność

Jawność nie gwarantuje prawdziwości. AJP-2 przypomina, że informacja może być niewiarygodna lub nieścisła z wielu powodów, w tym z powodu celowego wprowadzania w błąd i subiektywności. Doktryna odnosi tę uwagę do wszystkich dyscyplin, a więc także do źródeł otwartych, w których publikować może każdy.²

Dlatego doktryna zaleca potwierdzanie informacji z wielu źródeł: czas poświęcony na weryfikację zwiększa pewność i zmniejsza ryzyko. Amerykańskim odpowiednikiem jest wywiad wieloźródłowy, który łączy OSINT z pozostałymi dyscyplinami. Zjawiska, z którymi analityk otwartych źródeł zmaga się na co dzień, opisujemy w tekście o dezinformacji i FIMI.^2,6

Druga granica: prawo karne

Przy OSINT łatwo przyjąć, że skoro informacja jest jawna, jej zbieranie nie może być przestępstwem. Polskie prawo stawia sprawę inaczej, gdy w grę wchodzi obcy wywiad. Od 1 października 2023 r. art. 130 § 3 Kodeksu karnego przewiduje karę od 6 miesięcy do 8 lat pozbawienia wolności dla tego, kto zgłasza gotowość działania na rzecz obcego wywiadu przeciwko Rzeczypospolitej Polskiej albo w celu udzielenia obcemu wywiadowi wiadomości, których przekazanie może wyrządzić szkodę Polsce, gromadzi je, przechowuje lub wchodzi w tym celu do systemu informatycznego.³

Przepis nie mówi o informacjach niejawnych, lecz o wiadomościach, których przekazanie może wyrządzić szkodę. O odpowiedzialności rozstrzyga więc cel i adresat – obcy wywiad – a nie to, czy dane można było znaleźć w sieci. Sam udział w działalności obcego wywiadu przeciwko Polsce albo działanie na jego rzecz jest zagrożone karą co najmniej 5 lat (art. 130 § 1); zob. hasło szpiegostwo.³

Polskie ustawy o służbach nie posługują się pojęciem OSINT ani „źródeł otwartych”. Ustawa o ABW oraz AW wśród zadań Agencji Wywiadu wymienia ogólnie uzyskiwanie, analizowanie, przetwarzanie i przekazywanie właściwym organom informacji istotnych dla bezpieczeństwa i międzynarodowej pozycji Polski oraz jej potencjału ekonomicznego i obronnego (art. 6 ust. 1 pkt 1), bez rozróżniania, skąd informacja pochodzi.^7,8

Trzecia granica: dane osobowe

Wiele informacji jawnych dotyczy ludzi: nazwiska w rejestrach firm, zdjęcia, wpisy w mediach społecznościowych. W Unii Europejskiej ich przetwarzanie reguluje RODO, czyli rozporządzenie 2016/679 z 27 kwietnia 2016 r. Jego zakres ma jednak wyraźne wyłączenia.⁴

RODO nie stosuje się do działalności nieobjętej zakresem prawa Unii (art. 2 ust. 2 lit. a); motyw 16 podaje jako przykład bezpieczeństwo narodowe. Nie stosuje się też do właściwych organów, które przetwarzają dane w celu zapobiegania przestępczości, ścigania czynów zabronionych i wykonywania kar (art. 2 ust. 2 lit. d) – te sprawy według motywu 19 reguluje osobny akt Unii. Działalność wywiadu państwowego podlega więc przede wszystkim prawu krajowemu i jego mechanizmom kontroli (zob. Kto kontroluje służby specjalne w Polsce).⁴

Dla wszystkich pozostałych – firm, badaczy, dziennikarzy, amatorów OSINT – fakt, że dane są publiczne, nie wyłącza RODO. Rozporządzenie przewiduje wprost osobny obowiązek informacyjny, gdy dane pozyskano nie od osoby, której dotyczą (art. 14), a dane szczególnie chronione, np. o zdrowiu czy poglądach, wolno przetwarzać m.in. wtedy, gdy osoba sama je w sposób oczywisty upubliczniła (art. 9 ust. 2 lit. e) – przepis mówi o upublicznieniu przez samą tę osobę.⁴

Pokazuje to sprawa pierwszej kary nałożonej przez polski organ nadzorczy. Firma Bisnode (dziś Dun & Bradstreet) pobierała dane osób prowadzących działalność gospodarczą z publicznych rejestrów, takich jak KRS, CEIDG i REGON, i nie poinformowała tych osób o przetwarzaniu. Prezes UODO uznał, że spółka musiała wykonać obowiązek z art. 14 RODO, i nałożył karę nieco ponad 943 tys. zł. Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki (sygn. III OSK 2538/21) i potwierdził obowiązek informacyjny wobec osób prowadzących działalność. Wojewódzki sąd administracyjny uchylił decyzję w części dotyczącej osób, które prowadziły działalność w przeszłości, a w konsekwencji także karę; w tym zakresie UODO rozpatruje sprawę ponownie.⁹

Co z tego wynika

OSINT nie jest „szpiegowaniem bez szpiegów”, tylko pracą analityczną na materiale jawnym. Jego siła leży w skali i dostępności, słabość – w wiarygodności. Granice wyznacza nie technika, ale cel i adresat: ta sama wyszukiwarka służy dziennikarzowi, firmie i analitykowi służby, a w rękach osoby działającej na rzecz obcego wywiadu staje się narzędziem przestępstwa.^2,3,4