Co grozi za atak hakerski? Kary z art. 267-269b Kodeksu karnego

Pytanie "co grozi za atak hakerski" ma w polskim prawie dwa wymiary. Pierwszy to odpowiedzialność karna sprawcy - hakera, który uzyskuje nieuprawniony dostęp do systemu, podsłuchuje dane lub niszczy informacje. Drugi to obowiązki i ryzyka po stronie zaatakowanej organizacji, która przetwarzała dane osobowe - tu kluczowe jest RODO. Te dwa porządki łatwo pomylić, bo dotyczą tego samego zdarzenia, ale rządzą się zupełnie innymi przepisami i karami. W tym artykule rozdzielamy je wyraźnie: najpierw wyjaśniamy, jakie kary z Kodeksu karnego grożą sprawcy włamania (art. 267-269b k.k.), następnie odpowiedzialność cywilną za wyrządzone szkody, a na końcu - co musi zrobić firma, której dane wyciekły, by sama nie naraziła się na karę administracyjną. Opieramy się wyłącznie na prawie polskim i unijnym obowiązującym w Polsce.

Nieuprawniony dostęp i podsłuch - art. 267 k.k.

Podstawowy przepis penalizujący "klasyczne" włamanie do systemu to art. 267 k.k. Zgodnie z § 1, kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Ten sam przepis (§ 2) obejmuje uzyskanie dostępu do całości lub części systemu informatycznego, a § 3 - zakładanie i posługiwanie się urządzeniem podsłuchowym lub oprogramowaniem w celu pozyskania cudzej informacji. Karze podlega też ten, kto tak uzyskaną informację ujawnia innej osobie (§ 4). Co istotne procesowo: ściganie czynów z art. 267 k.k. następuje na wniosek pokrzywdzonego, a nie z urzędu. Dla zaistnienia przestępstwa wystarczy samo przełamanie zabezpieczenia, bez konieczności wyrządzenia dalszej szkody.

Niszczenie danych, sabotaż komputerowy i narzędzia hakerskie - art. 268-269b k.k.

Kodeks karny chroni nie tylko poufność, ale i integralność oraz dostępność danych. Art. 268 k.k. karze udaremnianie lub utrudnianie dostępu do informacji osobie uprawnionej (niszczenie, uszkadzanie, usuwanie lub zmianę zapisu) - do 2 lat, a jeżeli dotyczy to danych informatycznych - do 3 lat (art. 268 § 2 k.k.). Art. 268a k.k. dotyczy niszczenia, uszkadzania, usuwania, zmiany lub utrudniania dostępu do danych informatycznych - do 3 lat. Najpoważniejszy jest art. 269 k.k. (sabotaż komputerowy): niszczenie danych o szczególnym znaczeniu dla obronności, bezpieczeństwa lub administracji państwowej zagrożone jest karą od 6 miesięcy do 8 lat pozbawienia wolności. Art. 269a k.k. penalizuje zakłócanie pracy systemu lub sieci (np. ataki DDoS) - od 3 miesięcy do 5 lat. Wreszcie art. 269b k.k. karze samo wytwarzanie, pozyskiwanie, zbywanie lub udostępnianie programów i narzędzi (w tym haseł i kodów dostępu) przystosowanych do popełnienia tych przestępstw - karą od 3 miesięcy do 5 lat. Oznacza to, że karalne bywa nie tylko włamanie, ale już samo posiadanie i rozpowszechnianie narzędzi hakerskich w określonym celu.

Oszustwo komputerowe i kradzież tożsamości

Jeśli atak nie kończy się na dostępie do danych, lecz służy osiągnięciu korzyści majątkowej, w grę wchodzi art. 287 k.k. - oszustwo komputerowe. Karze ono tego, kto w celu osiągnięcia korzyści majątkowej lub wyrządzenia szkody, bez upoważnienia, wpływa na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych albo zmienia, usuwa czy wprowadza nowy zapis - kara od 3 miesięcy do 5 lat pozbawienia wolności (w wypadku mniejszej wagi łagodniej, a przy znacznej szkodzie surowiej). Z kolei posłużenie się cudzymi danymi w celu wyrządzenia szkody majątkowej lub osobistej (kradzież tożsamości) jest przestępstwem z art. 190a § 2 k.k. - od 6 miesięcy do 8 lat. Często jeden incydent wyczerpuje znamiona kilku przepisów naraz (np. art. 267 i 287 k.k.), co sąd ujmuje w tzw. kumulatywnej kwalifikacji prawnej (art. 11 § 2 k.k.) i wymierza jedną karę na podstawie przepisu przewidującego karę najsurowszą.

Odpowiedzialność cywilna sprawcy za szkody

Niezależnie od kary kryminalnej, sprawca ataku odpowiada cywilnie za wyrządzoną szkodę. Podstawą jest art. 415 Kodeksu cywilnego (odpowiedzialność za czyn niedozwolony): kto z winy swej wyrządził drugiemu szkodę, obowiązany jest do jej naprawienia. Poszkodowana firma lub osoba może dochodzić odszkodowania za rzeczywistą stratę i utracone korzyści (art. 361 k.c.) - np. koszty odtworzenia danych, przestój, utracone przychody. Za naruszenie dóbr osobistych (np. ujawnienie prywatnej korespondencji, danych wrażliwych) przysługuje też zadośćuczynienie pieniężne za doznaną krzywdę (art. 24 i 448 k.c.). Jeżeli haker wzbogacił się cudzym kosztem bez podstawy prawnej (np. sprzedając skradzione dane), wchodzi w grę roszczenie z tytułu bezpodstawnego wzbogacenia (art. 405 k.c.). W procesie cywilnym to powód musi udowodnić szkodę, winę sprawcy i związek przyczynowy - dlatego staranna dokumentacja incydentu i jego skutków finansowych jest kluczowa.

Obowiązki zaatakowanej firmy - RODO i 72 godziny

Jeśli atak doprowadził do naruszenia ochrony danych osobowych, zaatakowana organizacja ma własne obowiązki wynikające z RODO (ogólnego rozporządzenia o ochronie danych 2016/679). Administrator danych musi zgłosić naruszenie Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO) - chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób. Jeśli ryzyko jest wysokie, trzeba także zawiadomić same osoby, których dane dotyczą (art. 34 RODO). Każde naruszenie - nawet niezgłaszane - należy udokumentować w wewnętrznym rejestrze. Uwaga na często powtarzany błąd: 72 godziny to termin z RODO dla administratora danych, a nie kara dla hakera. Niezależnie obowiązują też przepisy o krajowym systemie cyberbezpieczeństwa (ustawa z 2018 r.), które na operatorów usług kluczowych nakładają obowiązek zgłaszania incydentów do właściwego CSIRT.

Kary administracyjne dla firmy za zaniedbania

Sama firma, która padła ofiarą ataku, może zostać ukarana - ale nie za to, że ją zaatakowano, lecz za własne zaniedbania w ochronie danych. Za naruszenie RODO grożą administracyjne kary pieniężne nakładane przez Prezesa UODO: do 10 mln euro lub 2% rocznego światowego obrotu (art. 83 ust. 4 RODO - m.in. brak odpowiednich zabezpieczeń, niezgłoszenie naruszenia) oraz do 20 mln euro lub 4% rocznego światowego obrotu (art. 83 ust. 5 RODO - naruszenie podstawowych zasad przetwarzania) - w zależności od tego, która kwota jest wyższa. Wysokość kary zależy m.in. od wagi naruszenia, stopnia winy, zastosowanych zabezpieczeń i współpracy z organem. W praktyce UODO karze przede wszystkim brak adekwatnych środków technicznych i organizacyjnych (art. 32 RODO) - dlatego dla firmy najważniejsze jest wykazanie, że wdrożyła rozsądne zabezpieczenia (szyfrowanie, kontrola dostępu, kopie zapasowe, szkolenia pracowników) i właściwie zareagowała na incydent.

Co zrobić tuż po wykryciu ataku

Reakcja w pierwszych godzinach przesądza zarówno o ograniczeniu szkody, jak i o późniejszej ocenie organów. Praktyczne kroki: po pierwsze, odizoluj zaatakowane systemy i zabezpiecz dowody (logi, zrzuty pamięci) - nie kasuj śladów, bo będą potrzebne w postępowaniu karnym i przed UODO. Po drugie, oceń, czy doszło do naruszenia danych osobowych i czy stwarza ono ryzyko dla osób - od tego zależy obowiązek zgłoszenia w ciągu 72 godzin (art. 33 RODO). Po trzecie, złóż zawiadomienie o podejrzeniu popełnienia przestępstwa na policję lub do prokuratury (art. 304 k.p.k.); przy czynach z art. 267 k.k. konieczny jest wniosek pokrzywdzonego. Po czwarte, udokumentuj wszystkie podjęte działania i poniesione koszty - to podstawa zarówno roszczeń cywilnych, jak i obrony przed ewentualną karą administracyjną. Warto na tym etapie skonsultować się z prawnikiem i z inspektorem ochrony danych, by nie przekroczyć terminów i nie pogorszyć własnej sytuacji prawnej.