Przestępstwa przeciwko bezpieczeństwu teleinformatycznemu (art. 267-269b KK) - jak działa adwokat?

Przestępstwa przeciwko bezpieczeństwu teleinformatycznemu (potocznie: cyberprzestępstwa) to wyodrębniona grupa czynów uregulowanych głównie w rozdziale XXXIII Kodeksu karnego - przestępstwa przeciwko ochronie informacji (art. 265-269c KK) - oraz w przepisach o oszustwie komputerowym (art. 287 KK) i kradzieży tożsamości (art. 190a § 2 KK). Adwokat zajmujący się tą dziedziną reprezentuje zarówno osoby oskarżone o nielegalny dostęp do systemu, podsłuch danych czy rozsyłanie złośliwego oprogramowania, jak i pokrzywdzonych, których dane wykradziono lub których konto zostało przejęte. Skuteczna obrona i skuteczne dochodzenie roszczeń wymagają znajomości nie tylko Kodeksu karnego, lecz także zasad zabezpieczania dowodów cyfrowych, opinii biegłych z zakresu informatyki śledczej oraz przepisów o ochronie danych osobowych (RODO). Poniżej wyjaśniamy, jakie czyny są karalne, jakie kary grożą i jak konkretnie pomaga prawnik.

Nielegalny dostęp do systemu - hacking (art. 267 KK)

Podstawowym przepisem jest art. 267 § 1 KK, zgodnie z którym kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Tej samej karze podlega ten, kto uzyskuje dostęp do całości lub części systemu informatycznego (art. 267 § 2 KK), a także kto zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem w celu pozyskania informacji, do której nie jest uprawniony (art. 267 § 3 KK). Ściganie tych czynów następuje na wniosek pokrzywdzonego (art. 267 § 5 KK). W praktyce chodzi o klasyczny hacking, łamanie haseł, podszywanie się pod sieci Wi-Fi czy instalowanie keyloggerów i programów szpiegujących.

Niszczenie danych i sabotaż komputerowy (art. 268-269a KK)

Kolejne czyny dotyczą integralności i dostępności danych. Art. 268 KK karze tego, kto nie będąc do tego uprawnionym, niszczy, uszkadza, usuwa lub zmienia zapis istotnej informacji albo w inny sposób udaremnia lub utrudnia osobie uprawnionej zapoznanie się z nią; gdy czyn dotyczy zapisu na informatycznym nośniku danych, kara sięga do 3 lat pozbawienia wolności (art. 268 § 2 KK). Art. 268a KK penalizuje niszczenie, uszkadzanie, usuwanie, zmianę lub utrudnianie dostępu do danych informatycznych albo zakłócanie ich automatycznego przetwarzania (do 3 lat). Najpoważniejszy jest art. 269 KK (sabotaż komputerowy) - niszczenie lub zakłócanie danych o szczególnym znaczeniu dla obronności, bezpieczeństwa lub administracji, zagrożone karą od 6 miesięcy do 8 lat. Z kolei art. 269a KK karze zakłócanie pracy systemu lub sieci (np. atak DDoS) karą od 3 miesięcy do 5 lat.

Narzędzia hakerskie i oszustwo komputerowe (art. 269b i 287 KK)

Art. 269b KK karze tzw. przygotowanie do przestępstw komputerowych - kto wytwarza, pozyskuje, zbywa lub udostępnia urządzenia albo programy komputerowe przystosowane do popełnienia czynów z art. 267 § 3, 268a, 269 lub 269a KK, a także hasła, kody dostępu czy inne dane umożliwiające nieuprawniony dostęp, podlega karze od 3 miesięcy do 5 lat. Bardzo częstym zarzutem w sprawach internetowych jest oszustwo komputerowe z art. 287 KK: kto w celu osiągnięcia korzyści majątkowej lub wyrządzenia szkody, bez upoważnienia, wpływa na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych albo zmienia, usuwa lub wprowadza nowy zapis, podlega karze od 3 miesięcy do 5 lat. Pod ten przepis podpadają m.in. nieuprawnione przelewy, manipulacje w bankowości elektronicznej czy podmiana numerów rachunków. Gdy sprawca wyłudza środki poprzez wprowadzenie człowieka w błąd (np. phishing, fałszywe sklepy), zastosowanie znajduje klasyczne oszustwo z art. 286 KK (do 8 lat).

Kradzież tożsamości i nieuprawnione wykorzystanie danych

Wbrew obiegowej nazwie polskie prawo nie zna odrębnego przestępstwa kradzieży tożsamości w rozumieniu prawa amerykańskiego, lecz penalizuje podszywanie się pod inną osobę. Zgodnie z art. 190a § 2 KK, kto podszywając się pod inną osobę, wykorzystuje jej wizerunek, inne jej dane osobowe lub inne dane, za pomocą których jest ona publicznie identyfikowana, w celu wyrządzenia jej szkody majątkowej lub osobistej, podlega karze pozbawienia wolności od 6 miesięcy do lat 8. Niezależnie od tego nieuprawnione przetwarzanie danych osobowych może rodzić odpowiedzialność administracyjną i karną na gruncie ustawy o ochronie danych osobowych oraz RODO (np. art. 107 ustawy z 10 maja 2018 r.). Pokrzywdzony, którego dane wykorzystano, może równolegle dochodzić ochrony dóbr osobistych i zadośćuczynienia na drodze cywilnej (art. 23, 24 i 448 KC).

Jak adwokat broni osoby oskarżonej o cyberprzestępstwo

Obrona w sprawach teleinformatycznych w dużej mierze rozgrywa się wokół dowodów cyfrowych. Adwokat przede wszystkim weryfikuje, czy zabezpieczenie sprzętu i danych odbyło się legalnie i z zachowaniem procedur (przeszukanie, zatrzymanie rzeczy - art. 217-236 KPK), bo wadliwie pozyskane dowody można skutecznie kwestionować. Kluczowe jest też wykazanie braku znamienia strony podmiotowej: większość tych przestępstw wymaga umyślności, a art. 287 i 269b KK wprost wymagają działania w określonym celu - obrona często polega na wykazaniu, że klient nie miał zamiaru ani świadomości bezprawności (np. testy bezpieczeństwa za zgodą, błędna konfiguracja, działanie w ramach upoważnienia). Adwokat analizuje opinie biegłych z informatyki śledczej, zleca opinie prywatne, kwestionuje przypisanie konkretnego adresu IP danej osobie (IP nie identyfikuje sprawcy, lecz urządzenie/łącze) i bada możliwość zastosowania środków probacyjnych: warunkowego umorzenia (art. 66 KK) lub dobrowolnego poddania się karze (art. 335 i 387 KPK).

Jak adwokat pomaga pokrzywdzonemu - zgłoszenie i dowody

Jeśli padłeś ofiarą włamania na konto, wycieku danych lub oszustwa, działaj szybko. Zabezpiecz dowody zanim znikną: zrób zrzuty ekranu, zachowaj nagłówki e-maili (pełne, z danymi technicznymi), wyciągi bankowe, logi logowań i korespondencję. Nie kasuj podejrzanych wiadomości. Zgłoś sprawę na policji lub w prokuraturze - zawiadomienie o przestępstwie składa się ustnie do protokołu albo na piśmie (art. 304 i 304a KPK). Pamiętaj, że hacking z art. 267 KK ścigany jest na wniosek pokrzywdzonego, więc wyraźnie zażądaj ścigania sprawcy. Incydent związany z naruszeniem danych osobowych zgłoś dodatkowo do Prezesa Urzędu Ochrony Danych Osobowych, a przejęcie konta - do banku i operatora. Adwokat sporządzi profesjonalne zawiadomienie z prawidłową kwalifikacją prawną, złoży wnioski dowodowe (zabezpieczenie logów u dostawcy, billingów), a po skierowaniu aktu oskarżenia wystąpi jako pełnomocnik oskarżyciela posiłkowego (art. 53-54 KPK) i zgłosi wniosek o naprawienie szkody (art. 46 KK).

Postępowanie krok po kroku i czas trwania sprawy

Sprawy teleinformatyczne przechodzą przez te same etapy co inne sprawy karne: postępowanie przygotowawcze (dochodzenie lub śledztwo prowadzone przez policję i prokuraturę), ewentualne stosowanie środków zapobiegawczych, akt oskarżenia, postępowanie sądowe pierwszej instancji i ewentualna apelacja. Ich specyfiką jest jednak duża rola dowodu z opinii biegłego informatyka oraz konieczność pozyskiwania danych od dostawców usług - to często wydłuża postępowanie do kilkunastu miesięcy, a w sprawach z elementem międzynarodowym (serwery za granicą, pomoc prawna) nawet dłużej. Bieg przedawnienia zależy od ustawowego zagrożenia: dla czynów zagrożonych karą do 3 lat karalność ustaje zwykle po 5 latach, a dla cięższych - po 10 i więcej (art. 101 KK). Z tego powodu zarówno obrońca, jak i pełnomocnik pokrzywdzonego powinni włączyć się do sprawy jak najwcześniej - pierwsze czynności często przesądzają o wyniku.