Włamanie do systemu informatycznego (art. 267 k.k.) – kary i obrona

Sprawy o tzw. hacking, czyli nieuprawniony dostęp do systemów i danych informatycznych, należą do najbardziej technicznych postępowań karnych. Z jednej strony oskarżeni bywają osobami przypadkowymi – pracownikiem, który zalogował się na cudze konto, testerem zabezpieczeń bez pisemnej zgody, czy nastolatkiem eksperymentującym ze skryptami. Z drugiej strony ofiarami padają firmy i osoby prywatne, które tracą dane, pieniądze i reputację. W obu rolach kluczowa jest pomoc prawnika, który rozumie zarówno polskie przepisy karne (przede wszystkim art. 267–269b Kodeksu karnego), jak i realia techniczne dowodów cyfrowych. Poniżej wyjaśniamy, jakie czyny są w Polsce karalne, jakie grożą za nie sankcje, jak wygląda obrona oraz jak dochodzić swoich praw, gdy padło się ofiarą cyberprzestępstwa.

Jakie przepisy regulują przestępstwa komputerowe w Polsce

Polski Kodeks karny grupuje przestępstwa przeciwko ochronie informacji w rozdziale XXXIII. Najważniejszy jest art. 267 k.k. – nieuprawnione uzyskanie dostępu do informacji nieprzeznaczonej dla sprawcy (np. przełamanie lub ominięcie zabezpieczeń, podłączenie się do sieci, założenie podsłuchu czy oprogramowania szpiegującego). Obok niego funkcjonują: art. 268 k.k. (niszczenie, uszkadzanie lub utrudnianie dostępu do zapisanej informacji), art. 268a k.k. (naruszenie integralności danych informatycznych), art. 269 k.k. (sabotaż komputerowy – zakłócenie danych o szczególnym znaczeniu, np. dla obronności czy administracji), art. 269a k.k. (zakłócanie pracy systemu lub sieci, np. atak DDoS) oraz art. 269b k.k. (wytwarzanie, pozyskiwanie i udostępnianie tzw. narzędzi hakerskich, haseł i kodów dostępu). Każdy z tych przepisów ma własne znamiona i własne zagrożenie karą, dlatego prawidłowa kwalifikacja czynu jest pierwszym i najważniejszym krokiem w sprawie.

Jakie kary grożą za hacking według polskiego prawa

Za nieuprawniony dostęp do informacji z art. 267 k.k. grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat. Niszczenie lub utrudnianie dostępu do danych (art. 268 § 1 i 2 k.k.) jest zagrożone karą do 2, a przy wyrządzeniu znacznej szkody majątkowej (art. 268 § 3) do 3 lat pozbawienia wolności. Naruszenie integralności danych (art. 268a k.k.) – do 3 lat. Najsurowiej traktowany jest sabotaż komputerowy z art. 269 k.k. dotyczący danych o szczególnym znaczeniu dla bezpieczeństwa państwa, obronności czy administracji – tu kara wynosi od 6 miesięcy do 8 lat pozbawienia wolności. Zakłócanie pracy systemu (art. 269a) oraz wytwarzanie narzędzi hakerskich (art. 269b) są zagrożone karą od 3 miesięcy do 5 lat. Większość tych czynów (poza art. 269 i kwalifikowanymi) ściga się na wniosek pokrzywdzonego, co ma istotne znaczenie procesowe.

Rola obrońcy w sprawie o przestępstwo komputerowe

Obrońca w sprawie hakerskiej pełni kilka funkcji. Po pierwsze, weryfikuje kwalifikację prawną – czy zarzucony czyn rzeczywiście wyczerpuje znamiona danego artykułu (np. czy doszło do realnego „przełamania zabezpieczeń”, czy tylko do wykorzystania luki, która nie była zabezpieczeniem w rozumieniu art. 267). Po drugie, analizuje dowody cyfrowe pod kątem prawidłowości ich zabezpieczenia: czy zachowano łańcuch dowodowy, czy nośniki nie zostały zmodyfikowane, czy dane z logów i adresów IP jednoznacznie wskazują na sprawcę. Po trzecie, korzysta z opinii biegłego z zakresu informatyki śledczej, by zakwestionować ustalenia oskarżyciela. Po czwarte, dba o prawa procesowe podejrzanego (prawo do odmowy wyjaśnień, prawo do obrońcy, kontrola legalności przeszukania i zatrzymania sprzętu na podstawie przepisów Kodeksu postępowania karnego).

Strategie obrony przed zarzutem o hacking

Typowe linie obrony opierają się na elementach strony podmiotowej i przedmiotowej. Brak zamiaru i wiedzy – wiele przestępstw z rozdziału XXXIII jest umyślnych, więc wykazanie, że dostęp był przypadkowy lub że sprawca działał w błędnym przekonaniu o legalności (np. miał ustną zgodę administratora), może wyłączyć odpowiedzialność. Działanie za zgodą – legalny pentest wykonywany na podstawie umowy i pisemnego upoważnienia (tzw. authorization to test) nie jest przestępstwem; kluczowy jest dowód zakresu zgody. Brak „przełamania zabezpieczeń” – jeśli system był otwarty lub dane jawne, znamię z art. 267 może nie być spełnione. Wadliwe dowody – błędy w zabezpieczeniu nośników czy brak rzetelnej opinii biegłego osłabiają oskarżenie. W polskim procesie nie istnieje amerykańska „ugoda o przyznanie się do winy”, ale dostępne są dobrowolne poddanie się karze (art. 387 k.p.k.) oraz skazanie bez rozprawy (art. 335 k.p.k.), pozwalające wynegocjować łagodniejszy wymiar kary przy współpracy z organami ścigania.

Co może zrobić ofiara cyberataku

Jeśli padłeś ofiarą włamania, ważna jest szybka i metodyczna reakcja. Najpierw zabezpiecz dowody: zrzuty ekranu, logi, korespondencję, daty i godziny zdarzeń, adresy e-mail i numery rachunków wykorzystanych przez sprawcę – ale bez modyfikowania zaatakowanych systemów, by nie zniszczyć śladów. Następnie złóż zawiadomienie o podejrzeniu popełnienia przestępstwa na policji lub w prokuraturze; w sprawach cyber pomocne bywa zgłoszenie do Centralnego Biura Zwalczania Cyberprzestępczości (CBZC). Incydent bezpieczeństwa warto też zgłosić do zespołu CERT Polska (działającego przy NASK). Jeżeli doszło do naruszenia ochrony danych osobowych, administrator danych ma obowiązek – co do zasady w ciągu 72 godzin – zgłosić to do Prezesa Urzędu Ochrony Danych Osobowych zgodnie z RODO. Ofiara może też dochodzić roszczeń cywilnych: odszkodowania za poniesioną szkodę i zadośćuczynienia za naruszenie dóbr osobistych.

Odpowiedzialność firm i obowiązki z zakresu cyberbezpieczeństwa

Przedsiębiorstwa przetwarzające dane osobowe podlegają RODO (czyli ogólnemu rozporządzeniu o ochronie danych 2016/679) oraz polskiej ustawie o ochronie danych osobowych. Naruszenie obowiązków bezpieczeństwa może skutkować administracyjnymi karami pieniężnymi nakładanymi przez Prezesa UODO, a w przypadku podmiotów objętych krajowym systemem cyberbezpieczeństwa – także innymi sankcjami. Dlatego firmy powinny wdrażać polityki bezpieczeństwa, prowadzić analizę ryzyka, szyfrować i tworzyć kopie zapasowe danych, ograniczać uprawnienia dostępu (zasada minimalnych przywilejów) oraz szkolić pracowników. Posiadanie planu reagowania na incydenty pozwala szybciej ograniczyć szkody i ułatwia wykazanie należytej staranności, co bywa istotne zarówno w postępowaniu przed UODO, jak i w ewentualnych sporach z poszkodowanymi klientami.

Kogo wybrać do prowadzenia sprawy hakerskiej

Sprawy o przestępstwa komputerowe wymagają adwokata lub radcy prawnego, który łączy doświadczenie w prawie karnym z rozumieniem technologii. Warto zapytać o doświadczenie w sprawach z rozdziału XXXIII k.k., współpracę z biegłymi z informatyki śledczej oraz znajomość przepisów o ochronie danych (RODO, ustawa o krajowym systemie cyberbezpieczeństwa). Dobry obrońca potrafi przełożyć żargon techniczny na język zrozumiały dla sądu i odwrotnie – wyłowić w aktach techniczne nieścisłości, które podważają tezę oskarżenia. Po stronie pokrzywdzonego liczy się natomiast umiejętność równoległego prowadzenia sprawy karnej (zawiadomienie, status oskarżyciela posiłkowego) i cywilnej (powództwo o odszkodowanie), tak aby maksymalnie zabezpieczyć interesy klienta.