Scandalul Pegasus din Polonia nu se mai referă doar la persoanele urmărite în perioada guvernării partidului Lege și Justiție (PiS). Rezultatele unei investigații făcute publice la 14 octombrie 2026 indică faptul că NSO Group, compania israeliană care produce programul, avea acces tehnic la datele colectate în timpul supravegherii unor politicieni ai opoziției și ai altor cetățeni.
Investigația nu a stabilit că NSO Group a primit efectiv materiale provenite din operațiuni concrete. A arătat însă că informațiile treceau prin servere controlate de producător, în timp ce Biroul Central Anticorupție al Poloniei nu deținea controlul deplin asupra modului în care funcționa sistemul. Diferența dintre un acces posibil și o scurgere de date dovedită este esențială, dar nu elimină problema de securitate.
În centrul cazului se află, astfel, două întrebări distincte: au fost folosite instrumentele statului împotriva adversarilor politici și cât de mult controlau instituțiile poloneze infrastructura tehnică prin care erau procesate informațiile obținute? Premierul Donald Tusk a descris afacerea drept unul dintre cele mai mari scandaluri din istoria Poloniei de la căderea regimului comunist.
Acces tehnic, fără dovada unei transmiteri efective
Pegasus este conceput pentru a pătrunde în dispozitive vizate și pentru a extrage informații din acestea. În cazul polonez, problema nu ține numai de cine a autorizat supravegherea sau de alegerea țintelor, ci și de traseul parcurs de date după colectare: ce servere le prelucrează, cine administrează sistemul și ce drepturi tehnice păstrează producătorul.
Potrivit rezultatelor relatate la 14 octombrie, sistemul nu funcționa ca o infrastructură complet izolată, administrată în fiecare etapă exclusiv de autoritățile poloneze. Datele colectate în timpul supravegherii erau transmise prin servere aflate sub controlul NSO Group. Această arhitectură îi oferea companiei posibilitatea tehnică de a ajunge la informațiile care treceau prin sistem.
Posibilitatea de acces nu este însă același lucru cu deținerea efectivă a datelor. Investigația nu a confirmat că NSO Group a obținut sau a consultat conversații, mesaje, liste de contacte, documente de anchetă ori alte materiale provenite din operațiuni individuale. Nu există, în informațiile prezentate, nici o confirmare că asemenea date ar fi fost transmise unui serviciu străin.
Această precizare delimitează ceea ce este demonstrat de ceea ce rămâne doar un risc. Rezultatele indică o vulnerabilitate a lanțului de control, nu un episod dovedit de extragere a datelor. Totuși, într-un sistem de supraveghere, controlul serverelor și al fluxurilor de informații face parte din securitatea operațiunii. Dacă un furnizor extern poate avea acces tehnic la infrastructură, datele potențial expuse nu se limitează la comunicațiile private ale persoanelor urmărite.
Sistemul poate dezvălui și cine se află în atenția autorităților, ce anchete sunt în desfășurare, ce metode sunt folosite și cum sunt organizate operațiunile serviciilor. Chiar și fără dovada unei scurgeri concrete, faptul că un organism național nu controlează integral mediul în care sunt procesate asemenea informații creează o vulnerabilitate structurală.
O infrastructură străină într-un conflict politic intern
Pegasus a fost folosit în perioada în care PiS se afla la guvernare pentru supravegherea unor politicieni ai opoziției și a altor cetățeni. Această utilizare a alimentat deja dezbaterea privind folosirea instrumentelor de securitate ale statului în lupta politică. Noile informații adaugă o dimensiune legată de protecția datelor: chiar dacă operațiunile erau decise de autorități poloneze, infrastructura care procesa rezultatele nu se afla integral sub controlul lor.
Informațiile disponibile nu demonstrează că fiecare operațiune de supraveghere a avut o motivație politică. Ele ridică însă întrebări despre cine a aprobat folosirea programului, cum au fost alese țintele și ce forme de control existau asupra agențiilor care îl operau. Pentru persoanele monitorizate, miza este protejarea comunicațiilor și a vieții private. Pentru stat, miza se extinde la confidențialitatea propriilor investigații și metode operative.
Potrivit relatărilor despre investigație, accesul tehnic a fost organizat cu sprijinul unor membri ai PiS. Acest element sporește greutatea politică a cazului, dar nu dovedește, prin el însuși, că NSO Group sau un serviciu străin a primit dosare de supraveghere. Concluzia susținută de informațiile disponibile este mai restrânsă: un program de supraveghere controversat politic se baza pe o infrastructură pe care autoritățile poloneze nu o controlau complet.
În acest fel, scandalul afectează două niveluri. La primul se află drepturile persoanelor urmărite și posibilitatea ca puterea de supraveghere a statului să fi fost folosită împotriva unor adversari. La al doilea se află protecția informațiilor produse de operațiuni: identitatea țintelor, prioritățile anchetelor și tehnicile serviciilor pot fi sensibile chiar și atunci când nu există dovada că au părăsit efectiv instituțiile poloneze.
Diferența dintre responsabilitate și control
Relatarea publicată de The Record mută centrul de greutate al afacerii Pegasus. Întrebarea inițială era cine a fost urmărit și în ce condiții. Acum se adaugă o întrebare tehnică, dar cu consecințe politice directe: în ce condiții a ajuns o companie străină să facă parte dintr-un sistem de stat destinat colectării unor date extrem de sensibile?
Un guvern poate păstra responsabilitatea juridică pentru o operațiune, poate decide asupra țintei și poate stoca oficial rezultatele, dar să depindă în același timp de un furnizor extern pentru software, servere și fluxuri de date. Într-o asemenea situație apare un decalaj între autoritatea formală și controlul practic. Instituția națională hotărăște folosirea instrumentului, însă nu poate verifica independent fiecare componentă prin care circulă informația.
Pentru un program precum Pegasus, această dependență este deosebit de importantă. Securitatea lui nu poate fi evaluată doar prin întrebarea cine are dreptul să îl activeze. Contează și unde sunt prelucrate datele, cine poate administra serverele, ce acces păstrează producătorul și dacă autoritățile pot controla sau audita în mod independent funcționarea sistemului.
Faptul că Biroul Central Anticorupție nu avea control deplin asupra sistemului arată că responsabilitatea statului nu se oprea la decizia de a folosi programul. Ea includea și obligația de a proteja datele generate de acesta. Când o infrastructură externă este integrată într-un instrument de supraveghere, riscul nu se referă doar la persoanele vizate, ci și la capacitatea statului de a-și păstra secretele operaționale.
Rămâne deschisă întrebarea dacă verificări ulterioare vor demonstra că materiale concrete din anumite operațiuni au ajuns efectiv în afara controlului autorităților poloneze. Deocamdată, rezultatele indică o posibilitate de acces și o lipsă de control complet, nu o transmitere dovedită a datelor. Tocmai această limită face cazul important: într-un sistem destinat celor mai sensibile operațiuni, statul trebuie să poată demonstra nu doar că decide cine este supravegheat, ci și că păstrează controlul deplin asupra informațiilor colectate.
