Przestępstwa przeciwko informacjom biznesowym - rola adwokata i obrona

Informacje są dziś jednym z najcenniejszych aktywów każdej firmy - bazy klientów, receptury, plany handlowe, dane osobowe czy poufne dokumenty finansowe. Ich kradzież, ujawnienie lub bezprawne wykorzystanie to nie tylko strata biznesowa, ale realne przestępstwo. W polskim prawie nie istnieje jeden przepis o 'przestępstwach przeciwko informacjom biznesowym' - ochronę zapewnia kilka aktów: Kodeks karny (przestępstwa przeciwko ochronie informacji - art. 265-269b KK), ustawa o zwalczaniu nieuczciwej konkurencji (ochrona tajemnicy przedsiębiorstwa - art. 23), przepisy o ochronie danych osobowych (RODO oraz ustawa z 2018 r.), a także przepisy o przestępstwach przeciwko obrotowi gospodarczemu (m.in. art. 303 KK - wyrządzenie szkody przez nieprowadzenie lub nierzetelne prowadzenie dokumentacji). Adwokat zajmujący się tą dziedziną broni zarówno osoby oskarżone o takie czyny, jak i reprezentuje pokrzywdzone firmy. Poniżej wyjaśniamy, jakie konkretnie przepisy wchodzą w grę, jakie grożą kary i na czym polega skuteczna obrona w polskim postępowaniu karnym.

Jakie czyny obejmują przestępstwa przeciwko informacjom biznesowym

Kategoria ta obejmuje szereg zachowań naruszających poufność i integralność danych firmowych. Najczęstsze z nich to: ujawnienie lub wykorzystanie wbrew przepisom informacji, z którą sprawca zapoznał się w związku z pełnioną funkcją lub pracą (art. 266 KK); bezprawne uzyskanie dostępu do informacji nieprzeznaczonej dla sprawcy - tzw. hacking, w tym przełamanie zabezpieczeń systemu informatycznego (art. 267 KK); niszczenie, uszkadzanie lub zmienianie danych informatycznych (art. 268 i 268a KK); sabotaż komputerowy zakłócający pracę systemu (art. 269 i 269a KK); a także wytwarzanie i udostępnianie tzw. narzędzi hakerskich (art. 269b KK). Odrębną, bardzo istotną kategorią jest naruszenie tajemnicy przedsiębiorstwa, czyli szpiegostwo gospodarcze, regulowane w art. 23 ustawy o zwalczaniu nieuczciwej konkurencji. Do tego dochodzą naruszenia związane z bezprawnym przetwarzaniem danych osobowych klientów czy pracowników. To właśnie te przepisy - a nie obce regulacje - stanowią podstawę odpowiedzialności w polskich realiach.

Tajemnica przedsiębiorstwa - art. 23 ustawy o zwalczaniu nieuczciwej konkurencji

Najważniejszym przepisem dotyczącym szpiegostwa gospodarczego jest art. 23 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji. Zgodnie z nim, kto wbrew ciążącemu na nim obowiązkowi w stosunku do przedsiębiorcy ujawnia innej osobie lub wykorzystuje we własnej działalności gospodarczej informację stanowiącą tajemnicę przedsiębiorstwa, jeżeli wyrządza to poważną szkodę przedsiębiorcy, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Tej samej karze podlega ten, kto uzyskał bezprawnie informację stanowiącą tajemnicę przedsiębiorstwa i ją ujawnia lub wykorzystuje. Karalne jest również wykorzystanie informacji uzyskanej w okolicznościach, o których mowa w ustawie (np. przez byłego pracownika, który skopiował bazę klientów). Tajemnica przedsiębiorstwa to informacje techniczne, technologiczne, organizacyjne lub inne mające wartość gospodarczą, które nie są powszechnie znane i co do których przedsiębiorca podjął działania w celu zachowania poufności (np. klauzule NDA, zabezpieczenia dostępu). To ściganie następuje na wniosek pokrzywdzonego.

Przestępstwa komputerowe i ochrona danych - art. 266-269b KK oraz RODO

Gdy do naruszenia dochodzi w środowisku cyfrowym, zastosowanie znajdują przepisy Kodeksu karnego o przestępstwach przeciwko ochronie informacji. Art. 267 § 1 KK karze bezprawne uzyskanie dostępu do informacji przez przełamanie lub ominięcie zabezpieczeń - grozi za to grzywna, kara ograniczenia wolności albo pozbawienia wolności do lat 2. Podsłuch, instalowanie urządzeń podsłuchowych czy nieuprawnione przechwytywanie transmisji danych również podlega karze. Art. 268a KK chroni dane informatyczne przed niszczeniem, uszkadzaniem i utrudnianiem dostępu (do 3 lat pozbawienia wolności). Równolegle, bezprawne przetwarzanie danych osobowych podlega odpowiedzialności na podstawie RODO (rozporządzenie UE 2016/679) oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych - z karami administracyjnymi nakładanymi przez Prezesa Urzędu Ochrony Danych Osobowych (UODO), które mogą sięgać dziesiątek milionów euro lub procentu obrotu firmy. Warto podkreślić: w Polsce organem nadzoru danych jest UODO, a nie żaden zagraniczny regulator.

Czym zajmuje się adwokat w sprawach o przestępstwa informacyjne

Rola obrońcy zaczyna się znacznie wcześniej niż sala rozpraw. Adwokat ocenia materiał dowodowy, ustala kwalifikację prawną stawianego zarzutu i bada, czy w ogóle doszło do wypełnienia znamion przestępstwa. W sprawach o naruszenie tajemnicy przedsiębiorstwa kluczowe jest sprawdzenie, czy informacja rzeczywiście miała status tajemnicy (czy przedsiębiorca podjął realne działania ochronne) oraz czy doszło do 'poważnej szkody', bo bez niej brakuje znamienia z art. 23 u.z.n.k. W sprawach komputerowych obrońca weryfikuje, czy sprawca przełamał zabezpieczenia, czy też uzyskał dostęp do danych, do których był uprawniony. Adwokat reprezentuje klienta na każdym etapie - od przesłuchania w charakterze podejrzanego, przez postępowanie przygotowawcze prowadzone przez prokuraturę i policję (często z udziałem biegłego informatyka), po rozprawę sądową. Jeśli reprezentuje pokrzywdzoną firmę, przygotowuje zawiadomienie o podejrzeniu popełnienia przestępstwa, wniosek o ściganie i działa jako pełnomocnik oskarżyciela posiłkowego.

Linie obrony i analiza dowodów cyfrowych

Skuteczna obrona opiera się na konkretnych argumentach prawnych. Po pierwsze - brak zamiaru: większość omawianych czynów (art. 266, 267 KK, art. 23 u.z.n.k.) można popełnić tylko umyślnie, więc wykazanie, że oskarżony działał w przekonaniu o swoim uprawnieniu lub przez przypadek, wyklucza odpowiedzialność. Po drugie - kwestionowanie statusu informacji: jeśli dane były ogólnodostępne albo firma nie zabezpieczyła ich jako tajemnicy, nie korzystają z ochrony art. 23 u.z.n.k. Po trzecie - badanie legalności pozyskania dowodów: dowody cyfrowe (logi, kopie dysków, korespondencja e-mail) muszą być zebrane zgodnie z procedurą; nielegalnie zgromadzony materiał można podważyć. Po czwarte - opinia biegłego z zakresu informatyki śledczej, która często rozstrzyga, czy rzeczywiście doszło do przełamania zabezpieczeń, czy dane zostały skopiowane przez oskarżonego, oraz czy zachowano integralność nośnika (tzw. łańcuch dowodowy). Obrońca analizuje metadane, czasy logowania i ścieżki dostępu - to one zwykle decydują o wyniku sprawy.

Profilaktyka - jak firma może się chronić i kiedy zgłosić sprawę

Najlepszą obroną jest zapobieganie. Przedsiębiorca, który chce chronić swoje informacje, powinien: wdrożyć politykę bezpieczeństwa informacji i procedury RODO; zawierać z pracownikami i kontrahentami umowy o zachowaniu poufności (NDA) oraz klauzule o zakazie konkurencji; ograniczyć dostęp do danych zgodnie z zasadą wiedzy koniecznej; prowadzić rejestr dostępów i regularne audyty bezpieczeństwa; oraz oznaczać dokumenty jako poufne. Te działania nie tylko zmniejszają ryzyko wycieku, ale są też warunkiem ochrony prawnej - bez wykazania, że informacja była realnie chroniona, trudno dowieść statusu tajemnicy przedsiębiorstwa. Gdy do naruszenia już dojdzie, firma powinna szybko zabezpieczyć dowody (logi systemowe, kopie nośników), zawiadomić organy ścigania i - jeśli doszło do naruszenia ochrony danych osobowych - w ciągu 72 godzin zgłosić to do Prezesa UODO (art. 33 RODO). Równolegle możliwe są roszczenia cywilne o zaniechanie naruszeń i odszkodowanie na podstawie ustawy o zwalczaniu nieuczciwej konkurencji.