Część polskich e-biznesów będzie musiała blokować treści użytkowników. Kogo obejmą przepisy i jakie obowiązki uruchomi nakaz?

Za ustawą głosowało 242 posłów, 61 było przeciw, a 136 wstrzymało się od głosu. Projektu nie było w porządku obrad posiedzenia. Trafił do głosowania po wystąpieniu premiera Donalda Tuska, który po serii ataków w szkołach na Mazowszu wezwał do szybkiego blokowania mowy nienawiści w sieci. Drugie czytanie odbyło się już na początku września, potem projekt czekał bez terminu.

W niedzielę 11 października wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował, że służby odpowiedzialne za bezpieczeństwo w sieci od czwartku pracują w trybie alarmowym. Senacka komisja zbiera się we wtorek 13 października o 8:00. Minister zapowiedział, że państwo ma nie prosić platform o usuwanie treści, ale im to nakazywać, i to praktycznie w czasie rzeczywistym.

Skąd się wziął problem

Polska od ponad dwóch i pół roku nie ma pełnego narzędzia do szybkiego usuwania nielegalnych treści z sieci, a skala zagrożeń rośnie. W 2025 r. CERT Polska, zespół działający w NASK, otrzymał 658 320 zgłoszeń, o 10 proc. więcej niż rok wcześniej. Zarejestrował na ich podstawie 260 783 incydenty, czyli o 152 proc. więcej r/r. Oszustwa komputerowe, głównie phishing i fałszywe inwestycje, stanowiły 97 proc. incydentów.

To przekłada się na pracę policji. Centralne Biuro Zwalczania Cyberprzestępczości zatrzymało w 2025 r. 1177 osób, a zarzuty usłyszały 1374 osoby, w tym 417 trafiło do aresztu. To średnio o około 30 proc. więcej niż w 2024 r. Ministerstwo Cyfryzacji informowało też o ponad siedmiokrotnym wzroście liczby wykrytych materiałów przedstawiających seksualne wykorzystywanie dzieci w ciągu roku.

Państwo już dziś blokuje część stron, ale na zasadzie współpracy, a nie nakazu. Lista ostrzeżeń CERT Polska, stosowana przez operatorów telekomunikacyjnych, obejmuje ponad pół miliona domen. Dyżurnet.pl z NASK deklaruje, że 85 proc. zgłoszonych materiałów z wykorzystywaniem dzieci, umieszczonych na polskich serwerach, znika w ciągu 24 godzin.

Brakowało natomiast podstawy prawnej, którą przewiduje unijny Akt o usługach cyfrowych (DSA). Rozporządzenie obowiązuje w całości od 17 lutego 2024 r. Do tego dnia państwa miały wyznaczyć krajowego koordynatora ds. usług cyfrowych i dać mu uprawnienia. Polska tego nie zrobiła. Komisja Europejska wezwała ją do tego 16 grudnia 2024 r., a następnie skierowała skargę do TSUE, razem z Czechami, Cyprem, Hiszpanią i Portugalią. Za dalszą zwłokę grozi kara finansowa.

Pierwszą ustawę wdrażającą DSA prezydent Karol Nawrocki zawetował 9 stycznia 2026 r. Uznał, że wprowadzałaby administracyjną cenzurę, bo o blokowaniu decydowaliby urzędnicy podlegli rządowi, a nie niezależne sądy.

Dwie ustawy zamiast jednej

Po prezydenckim wecie rząd podzielił wdrożenie unijnego aktu o usługach cyfrowych (DSA) na dwie osobne ustawy. Pierwsza z nich ustanawia nadzór instytucjonalny oraz system kar, natomiast druga przyznaje państwu narzędzia do szybkiego blokowania nielegalnych treści w sieci.

Pierwsza ustawa, regulująca kwestie nadzoru nad DSA, została oficjalnie uchwalona przez Sejm 4 września 2026 r. i ma już podpis prezydenta, który podpisał ją 25 września. Dokument ten wyznacza Prezesa Urzędu Komunikacji Elektronicznej (UKE) na krajowego koordynatora do spraw usług cyfrowych. Z kolei Prezes Urzędu Ochrony Konkurencji i Konsumentów (UOKiK) zajmie się naruszeniami interesów konsumentów przez platformy internetowe, a Przewodniczący Krajowej Rady Radiofonii i Telewizji (KRRiT) – nadzorem nad platformami udostępniającymi materiały wideo. Wskazane urzędy otrzymują na mocy nowych przepisów prawo do rozpatrywania skarg użytkowników, prowadzenia kontroli oraz nakładania kar finansowych. Ustawa wchodzi w życie 6 listopada 2026 r.

Druga, o nakazach blokady (druk nr 2693), została uchwalona przez Sejm 8 października i trafiła do Senatu. Wprowadza nakazy ograniczenia dostępu do nielegalnych treści, kierowane do dostawców usług pośrednich, w tym platform. Tworzy też rejestr domen prowadzony przez prezesa UKE, który mają stosować operatorzy dostępu do internetu. Projekt rządowy przewidywał wejście w życie trzy miesiące po ogłoszeniu.

Dla przedsiębiorcy oznacza to, że część obowiązków już ma realnego egzekutora. DSA jako rozporządzenie stosuje się bezpośrednio od 2024 r. Brakowało jednak urzędu, który mógłby sprawdzić polską firmę i nałożyć karę. Teraz ten urząd jest.

Kogo obejmą przepisy

O obowiązkach decyduje rodzaj usługi, a nie wielkość czy branża firmy. Przepisy dotyczą każdego, kto zawodowo przesyła, tymczasowo przechowuje albo przechowuje i udostępnia treści dostarczone przez kogoś innego. DSA nazywa takie firmy dostawcami usług pośrednich. Objęte są także firmy zagraniczne, jeśli świadczą usługi użytkownikom w Polsce.

1. Firmy, które dają dostęp do sieci i przesyłają dane

To one mają stosować blokady z rejestru domen prowadzonego przez prezesa UKE:

• ogólnopolscy operatorzy telekomunikacyjni, stacjonarni i mobilni;
• lokalni i osiedlowi dostawcy internetu, operatorzy sieci światłowodowych i radiowych;
• operatorzy telewizji kablowej oferujący internet;
• operatorzy wirtualni (MVNO) sprzedający usługi transmisji danych;
• operatorzy hurtowi i tranzytowi oraz punkty wymiany ruchu internetowego;
• dostawcy usług VPN;
• dostawcy publicznych serwerów DNS.

DSA zalicza do tej grupy także rejestry i rejestratorów domen. To, czy obowiązek blokady z rejestru UKE obejmie tylko operatorów dostępu, czy również ich, zależy od ostatecznego brzmienia ustawy.

2. Firmy, które tymczasowo przechowują dane

• dostawcy sieci dostarczania treści (CDN);
• dostawcy usług proxy, akceleracji i ochrony stron przed atakami DDoS.

3. Firmy hostingowe i chmurowe

To główni adresaci nakazów blokady konkretnych treści:

• hosting współdzielony, serwery VPS i dedykowane;
• dostawcy chmury (infrastruktura i platformy chmurowe);
• usługi przechowywania i udostępniania plików, dyski internetowe;
• platformy SaaS do budowy sklepów internetowych, bo przechowują treści swoich klientów-sprzedawców;
• kreatory stron WWW i platformy blogowe;
• hosting wideo i podcastów;
• platformy newsletterowe z publicznymi archiwami wysyłek;
• repozytoria kodu i dokumentacji;
• zewnętrzne systemy komentarzy osadzane na stronach;
• narzędzia SaaS, które pozwalają klientom publikować publiczne strony, formularze lub linki do udostępnionych materiałów.

4. Platformy internetowe

To hosting, który dodatkowo upublicznia treści użytkowników. Platformy mają najwięcej obowiązków, w tym obsługę osób odwołujących się od blokad:

• marketplace’y i platformy handlowe z ofertami zewnętrznych sprzedawców;
• serwisy ogłoszeniowe: motoryzacyjne, nieruchomości, praca, drobne ogłoszenia;
• platformy rezerwacyjne: noclegi, wizyty, usługi lokalne;
• serwisy z opiniami o firmach, lekarzach, pracodawcach i produktach;
• media społecznościowe;
• fora internetowe i serwisy dyskusyjne;
• serwisy wideo i transmisji na żywo z treściami użytkowników (tu nakazy wydaje przewodniczący KRRiT);
• platformy dla twórców i serwisy wsparcia twórców;
• serwisy zbiórek i crowdfundingu;
• platformy dla freelancerów i zleceń;
• platformy kursów online z materiałami tworzonymi przez użytkowników;
• aplikacje randkowe;
• sklepy z aplikacjami;
• serwisy odsprzedaży biletów;
• gry i serwisy gamingowe z publicznymi czatami, profilami lub treściami tworzonymi przez graczy;
• publiczne kanały i grupy w komunikatorach.

5. Wyszukiwarki internetowe

Wyszukiwarki mają własną kategorię w DSA i podlegają nadzorowi prezesa UKE.

6. Firmy objęte w części swojej działalności

To najliczniejsza grupa, często nieświadoma, że przepisy jej dotyczą. Firma nie musi być platformą, wystarczy, że w jednym miejscu przechowuje cudze treści:

• sklepy internetowe z opiniami, ocenami, zdjęciami lub pytaniami klientów;
• portale informacyjne, lokalne i branżowe z sekcją komentarzy;
• blogi firmowe z komentarzami;
• aplikacje mobilne z czatem publicznym, profilami użytkowników lub społecznością;
• serwisy e-learningowe z forum dla kursantów;
• programy lojalnościowe i kluby klienta z galeriami lub forum;
• serwisy z konkursami, w których użytkownicy publikują własne prace.

7. Wydawcy i prasa internetowa

Za własne artykuły wydawcy nadal odpowiadają na podstawie prawa prasowego i karnego. Nowe przepisy dotyczą ich jednak w kilku miejscach:

• komentarze czytelników, fora, blogi czytelników i sekcje z materiałami nadesłanymi przez odbiorców;
• materiały redakcji publikowane na platformach (Facebook, YouTube, TikTok, X);
• własne serwisy wideo i transmisje na żywo z udziałem widzów, np. czaty pod relacjami;
• rejestr domen;
• reklamy: wydawcy wyświetlający reklamy z zewnętrznych sieci mają ograniczony wpływ na oszukańcze kreacje.

Kogo przepisy nie obejmą

Poza zakresem jest sklep, który sprzedaje wyłącznie własne produkty i nie publikuje treści klientów. Nie są objęte strony-wizytówki i firmowe strony bez interakcji z użytkownikami. Za własne treści redakcyjne odpowiadają wydawcy na podstawie prawa prasowego i karnego, a nie jako pośrednicy. Prywatna korespondencja między użytkownikami nie jest publicznym udostępnianiem treści.

Ulgi dla mniejszych firm

Mikro i małe przedsiębiorstwa są w DSA zwolnione z części obowiązków platform, np. z raportów przejrzystości. Zwolnienie nie obejmuje wykonania nakazu wydanego przez organ. Ustawa nie wprowadza też ogólnego obowiązku monitorowania wszystkich treści, bo prawo UE go wyklucza. Przypisanie konkretnej usługi do danej grupy zawsze wymaga indywidualnej oceny.

Co uruchamia nakaz

Nakaz wydaje urząd, a nie sąd, ale firma nie musi go wykonać od razu, chyba że decyzja ma rygor natychmiastowej wykonalności. Tak wygląda procedura według relacji z prac Sejmu:

1. Wniosek. O blokadę mogą wystąpić prokurator, policja, KAS i Straż Graniczna, a także sami użytkownicy internetu i uprawnieni z praw autorskich lub pokrewnych. Zanim złożą wniosek do urzędu, muszą najpierw zgłosić treść platformie w jej własnej procedurze.
2. Decyzja. Rozstrzyga prezes UKE, a w sprawach platform wideo przewodniczący KRRiT. Podstawą jest katalog konkretnych czynów zabronionych, m.in. groźby karalne, przestępstwa seksualne wobec małoletnich, nawoływanie do przestępstw, oszustwa, kradzież tożsamości, naruszenia praw autorskich i nielegalny handel.
3. Wykonanie. Dostawca blokuje wskazaną treść i informuje organ o podjętych działaniach. Zasadniczo nakaz nie jest wykonywany przed możliwością zakwestionowania go w sądzie.
4. Wyjątek. Sejm przyjął poprawkę PiS i Polski 2050: rygor natychmiastowej wykonalności obejmie, oprócz części treści związanych z seksualnym wykorzystywaniem dzieci, także treści mogące stanowić pornografię dziecięcą, zoofilską lub związaną z przemocą. Organ może nadać taki rygor także w innych pilnych sprawach.
5. Sprzeciw. Autor treści może zakwestionować decyzję przed sądem powszechnym.
6. Odwrócona ścieżka. Użytkownik, któremu hostingodawca błędnie zablokował treść, może wnioskować do organu o nakaz przywrócenia. Najpierw musi jednak skorzystać z systemu zgłoszeń u dostawcy, więc ten system staje się pierwszą instancją.

Osobny mechanizm dotyczy całych domen. Prezes UKE będzie prowadził niejawny rejestr stron wykorzystywanych do rozpowszechniania nielegalnych treści. Według założeń projektu operatorzy będą mieli 48 godzin od wpisu na zablokowanie domeny. Podobne rejestry już działają, np. dla nielegalnego hazardu.

Otwarte pozostają dokładne terminy wydawania decyzji. W założeniach mowa była o 2 dniach w najpilniejszych sprawach i 7 dniach w pozostałych, ale termin decyzji to nie to samo co moment fizycznej blokady.

Kary i koszty

Kary są liczone od obrotu, więc dotkną małą firmę proporcjonalnie do jej skali. Przewiduje je ustawa nadzorcza, już podpisana przez prezydenta.

Najwyższa kara za niewykonanie obowiązków z DSA to 6 proc. światowego obrotu z poprzedniego roku. Za nieudzielenie informacji, podanie nieprawdziwych danych lub utrudnianie kontroli grozi do 1 proc. rocznego dochodu lub obrotu. Za każdy dzień zwłoki w wykonaniu decyzji organ może naliczyć do 5 proc. średniego dziennego obrotu. Firma, która w ostatnich trzech latach nie miała obrotu, zapłaci najwyżej równowartość 6000 euro.

Ustalając karę, organ ma brać pod uwagę m.in. wagę i czas trwania naruszenia oraz możliwości ekonomiczne firmy.

Kosztu przygotowania się do nowych obowiązków nikt dotąd nie oszacował publicznie. Na rachunek małego marketplace’u lub hostingu składają się: dostosowanie regulaminu i procedur przez prawnika, narzędzie do przyjmowania i ewidencji zgłoszeń, czas osoby odpowiedzialnej za nakazy, także w weekendy, a u operatorów wdrożenie blokad domen.

Jak się przygotować

Firmy, które przechowują cudze treści, mogą zacząć już teraz, bo większość tych kroków wynika z DSA, które i tak obowiązuje:

• Punkt kontaktowy. Organ doręcza pisma na adres punktu kontaktowego z art. 11 DSA. Można wskazać adres do e-Doręczeń. Skrzynka, której nikt nie sprawdza, nie wstrzymuje biegu terminów.
• Ścieżka dla nakazu. Kto przyjmuje pismo, kto ocenia, kto blokuje i kto potwierdza wykonanie organowi.
• Zastępstwa. Przy decyzjach natychmiast wykonalnych nie ma czasu na powrót z urlopu.
• System zgłoszeń dla użytkowników. Po zmianach staje się pierwszą instancją przed odwołaniem do urzędu.
• Dokumentacja decyzji. Uzasadnienia blokad i odpowiedzi dla autorów treści, na wypadek kontroli lub sporu.
• Regulamin. Jasne zasady moderacji, zgodne z DSA.
• Mały hosting: sprawdzenie, czy umowy z klientami pozwalają szybko zablokować pojedynczy zasób bez wyłączania całego serwisu.

Spór, który się nie skończył

Największą niewiadomą dla firm jest termin. Ustawę musi jeszcze przyjąć Senat i podpisać prezydent, który w styczniu zawetował podobny mechanizm. Pierwszy etap nadal należy do urzędu, a nie do sądu, więc główny zarzut z weta wciąż jest aktualny. Z drugiej strony Polsce grozi kara z TSUE za brak wdrożenia DSA.

Drugie ryzyko to nadużycia. Mechanizmy zgłoszeń bywają wykorzystywane przeciw konkurencji lub krytykom, np. przez rzekome naruszenia praw autorskich. Dla serwisów z opiniami o firmach to realny problem: nieżyczliwa recenzja nie staje się nielegalna tylko dlatego, że komuś szkodzi.

Jest też druga strona rachunku. Szybsze blokowanie fałszywych sklepów, stron podszywających się pod banki i oszustw inwestycyjnych chroni klientów legalnego e-handlu.