Co grozi za atak hakerski? Kary z art. 267-269b Kodeksu karnego

Pytanie "co grozi za atak hakerski" ma w polskim prawie dwa wymiary. Pierwszy to odpowiedzialność karna sprawcy - hakera, który uzyskuje nieuprawniony dostęp do systemu, podsłuchuje dane lub niszczy informacje. Drugi to obowiązki i ryzyka po stronie zaatakowanej organizacji, która przetwarzała dane osobowe - tu kluczowe jest RODO. Te dwa porządki łatwo pomylić, bo dotyczą tego samego zdarzenia, ale rządzą się zupełnie innymi przepisami i karami. W tym artykule rozdzielamy je wyraźnie: najpierw wyjaśniamy, jakie kary z Kodeksu karnego grożą sprawcy włamania (art. 267-269b k.k.), następnie odpowiedzialność cywilną za wyrządzone szkody, a na końcu - co musi zrobić firma, której dane wyciekły, by sama nie naraziła się na karę administracyjną. Opieramy się wyłącznie na prawie polskim i unijnym obowiązującym w Polsce.

Nieuprawniony dostęp i podsłuch - art. 267 k.k.

Podstawowy przepis penalizujący "klasyczne" włamanie do systemu to art. 267 k.k. Zgodnie z § 1, kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Ten sam przepis (§ 2) obejmuje uzyskanie dostępu do całości lub części systemu informatycznego, a § 3 - zakładanie i posługiwanie się urządzeniem podsłuchowym lub oprogramowaniem w celu pozyskania cudzej informacji. Karze podlega też ten, kto tak uzyskaną informację ujawnia innej osobie (§ 4). Co istotne procesowo: ściganie czynów z art. 267 k.k. następuje na wniosek pokrzywdzonego, a nie z urzędu. Dla zaistnienia przestępstwa wystarczy samo przełamanie zabezpieczenia, bez konieczności wyrządzenia dalszej szkody.

Niszczenie danych, sabotaż komputerowy i narzędzia hakerskie - art. 268-269b k.k.

Kodeks karny chroni nie tylko poufność, ale i integralność oraz dostępność danych. Art. 268 k.k. karze udaremnianie lub utrudnianie dostępu do informacji osobie uprawnionej (niszczenie, uszkadzanie, usuwanie lub zmianę zapisu) - do 2 lat, a jeżeli dotyczy to danych informatycznych - do 3 lat (art. 268 § 2 k.k.). Art. 268a k.k. dotyczy niszczenia, uszkadzania, usuwania, zmiany lub utrudniania dostępu do danych informatycznych - do 3 lat. Najpoważniejszy jest art. 269 k.k. (sabotaż komputerowy): niszczenie danych o szczególnym znaczeniu dla obronności, bezpieczeństwa lub administracji państwowej zagrożone jest karą od 6 miesięcy do 8 lat pozbawienia wolności. Art. 269a k.k. penalizuje zakłócanie pracy systemu lub sieci (np. ataki DDoS) - od 3 miesięcy do 5 lat. Wreszcie art. 269b k.k. karze samo wytwarzanie, pozyskiwanie, zbywanie lub udostępnianie programów i narzędzi (w tym haseł i kodów dostępu) przystosowanych do popełnienia tych przestępstw - karą od 3 miesięcy do 5 lat. Oznacza to, że karalne bywa nie tylko włamanie, ale już samo posiadanie i rozpowszechnianie narzędzi hakerskich w określonym celu.