Przestępstwa w e-handlu w polskim prawie – jakie kary grożą i jak się bronić

Handel elektroniczny rośnie w Polsce z roku na rok, a wraz z nim liczba nadużyć: fałszywe sklepy, wyłudzenia danych kart, przejęcia kont, podszywanie się pod kurierów i banki. Wbrew obiegowej opinii nie ma w polskim prawie jednego przepisu o „przestępstwie e-commerce”. Zachowania, które potocznie nazywamy przestępstwami w handlu elektronicznym, są ścigane na podstawie konkretnych artykułów Kodeksu karnego (m.in. oszustwo z art. 286, oszustwo komputerowe z art. 287, nielegalny dostęp do systemu z art. 267), przepisów o ochronie danych osobowych (RODO i ustawa o ochronie danych osobowych) oraz przepisów cywilnych chroniących konsumenta. W tym artykule wyjaśniamy, które przepisy realnie mają zastosowanie, jakie kary grożą sprawcom, jakie prawa ma poszkodowany konsument i firma, oraz jak wygląda obrona, gdy ktoś sam staje wobec takiego zarzutu. Skupiamy się na prawie polskim – usuwamy mylące odwołania do prawa obcego, którymi obrosła ta tematyka w internecie.

Jakie przepisy polskiego prawa obejmują przestępstwa w e-handlu

Najczęstszą kwalifikacją jest oszustwo z art. 286 § 1 Kodeksu karnego: kto w celu osiągnięcia korzyści majątkowej doprowadza inną osobę do niekorzystnego rozporządzenia mieniem za pomocą wprowadzenia w błąd – np. prowadzi fałszywy sklep i pobiera płatności bez zamiaru wysłania towaru. Tam, gdzie sprawca nie oszukuje człowieka, lecz manipuluje systemem informatycznym, właściwy jest art. 287 § 1 KK (oszustwo komputerowe) – np. nieuprawnione wpływanie na automatyczne przetwarzanie danych w celu osiągnięcia korzyści. Nielegalny dostęp do systemu (hacking), przełamanie zabezpieczeń, podsłuch danych obejmuje art. 267 KK. Niszczenie, usuwanie lub zmiana danych to art. 268, 268a i 269 KK, a sabotaż komputerowy (zakłócenie pracy systemu o znaczeniu dla bezpieczeństwa lub gospodarki) – art. 269a KK. Posługiwanie się cudzymi danymi (podszywanie się, kradzież tożsamości) ścigane jest na podstawie art. 190a § 2 KK, a fałszowanie dokumentów wykorzystywanych w transakcjach – art. 270 KK. To te przepisy, a nie hasłowo przywoływane „dyrektywy e-commerce”, decydują o odpowiedzialności karnej w Polsce.

Oszustwo internetowe (art. 286 KK) – najczęstsza kwalifikacja

Klasyczne wyłudzenie w e-handlu – fałszywy sklep, ogłoszenie sprzedaży nieistniejącego towaru, „sprzedawca”, który znika po przelewie – to oszustwo z art. 286 § 1 KK. Grozi za nie kara pozbawienia wolności od 6 miesięcy do 8 lat. W wypadku mniejszej wagi (art. 286 § 3 KK) sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do 2 lat. Jeżeli przedmiotem oszustwa jest mienie znacznej wartości (powyżej 200 000 zł) lub dobro o szczególnym znaczeniu dla kultury, czyn kwalifikuje się surowiej z art. 294 KK – kara pozbawienia wolności od roku do 10 lat. Istotne jest, że oszustwo wymaga zamiaru bezpośredniego kierunkowego: sprawca już w chwili pobierania zapłaty musi działać w celu osiągnięcia korzyści i z zamiarem niewykonania umowy. Samo niewywiązanie się z umowy (np. opóźnienie dostawy z powodu problemów dostawcy) nie jest jeszcze przestępstwem – to spór cywilny. Granica między oszustwem a niewykonaniem zobowiązania bywa cienka i często stanowi oś sporu w postępowaniu.

Phishing, przejęcie konta i kradzież tożsamości

Phishing – podszywanie się pod bank, sklep czy kuriera w celu wyłudzenia loginów, haseł lub danych kart – nie ma w Kodeksie karnym jednej nazwy, ale realizuje znamiona kilku przepisów naraz. Samo wysłanie fałszywej wiadomości i przechwycenie danych logowania może wyczerpywać art. 267 KK (uzyskanie nieuprawnionego dostępu do informacji). Wykorzystanie zdobytych danych do wyprowadzenia środków z konta to oszustwo komputerowe z art. 287 KK lub oszustwo z art. 286 KK, w zależności od mechanizmu. Podszywanie się pod inną osobę – wykorzystanie jej wizerunku lub danych osobowych w celu wyrządzenia jej szkody majątkowej lub osobistej – to odrębne przestępstwo z art. 190a § 2 KK, zagrożone karą pozbawienia wolności od 6 miesięcy do 8 lat. Przejęcie cudzego konta zakupowego i dokonanie zakupów na koszt ofiary łączy zwykle art. 267 KK (dostęp) z art. 287 lub 286 KK (korzyść majątkowa). W praktyce prokuratura formułuje kumulatywną kwalifikację prawną (art. 11 § 2 KK), obejmując jednym czynem kilka naruszonych przepisów.

Naruszenie danych osobowych a RODO – co grozi przedsiębiorcy

Przedsiębiorca prowadzący sklep internetowy jest administratorem danych osobowych klientów i odpowiada za ich bezpieczeństwo na podstawie RODO (rozporządzenie 2016/679) oraz ustawy z 10 maja 2018 r. o ochronie danych osobowych. RODO przewiduje administracyjne kary pieniężne nakładane przez Prezesa Urzędu Ochrony Danych Osobowych – do 20 mln euro albo do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa (zależnie od tego, która kwota jest wyższa) za najpoważniejsze naruszenia (art. 83 ust. 5 RODO). To kara administracyjna, a nie karna – nakłada ją PUODO, nie sąd karny. W razie naruszenia ochrony danych administrator ma obowiązek zgłosić je do PUODO bez zbędnej zwłoki, w miarę możliwości w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO), a jeśli naruszenie może powodować wysokie ryzyko dla praw osób – także zawiadomić same osoby (art. 34 RODO). Niezależnie od kary administracyjnej osoba, której dane naruszono, może dochodzić odszkodowania na drodze cywilnej (art. 82 RODO). Warto zaznaczyć: limit kary 20 mln euro / 4% obrotu jest realnym przepisem RODO i obowiązuje także w Polsce – tu źródłowy materiał był akurat poprawny.

Prawa konsumenta poszkodowanego w e-handlu

Konsument, który padł ofiarą nieuczciwego sprzedawcy internetowego, nie jest zdany wyłącznie na prawo karne. Kluczowe są przepisy cywilne. Przy umowach zawieranych na odległość ma prawo odstąpienia od umowy bez podania przyczyny w terminie 14 dni (ustawa z 30 maja 2014 r. o prawach konsumenta) – z wyłączeniami przewidzianymi w tej ustawie. Jeśli towar jest niezgodny z umową (wadliwy), od 1 stycznia 2023 r. obowiązuje reżim niezgodności towaru z umową z ustawy o prawach konsumenta (dawniej rękojmia z Kodeksu cywilnego), dający prawo do naprawy, wymiany, obniżenia ceny lub odstąpienia. W razie nieuczciwych praktyk rynkowych konsument może też korzystać z ustawy o przeciwdziałaniu nieuczciwym praktykom rynkowym. Skargi na praktyki naruszające zbiorowe interesy konsumentów kieruje się do Urzędu Ochrony Konkurencji i Konsumentów (UOKiK), a bezpłatną pomoc oferuje rzecznik konsumentów. Przy płatnościach kartą warto sprawdzić u banku możliwość obciążenia zwrotnego (chargeback). Te instytucje działają równolegle do zawiadomienia o przestępstwie.

Jak zgłosić przestępstwo i jak przebiega postępowanie

Oszustwo internetowe i pozostałe przestępstwa e-handlu ściga się z urzędu. Zawiadomienie o podejrzeniu popełnienia przestępstwa składa się na policji lub w prokuraturze – ustnie do protokołu albo na piśmie (art. 304 KPK). Do zawiadomienia warto dołączyć wszystkie dowody: korespondencję ze sprzedawcą, potwierdzenia przelewu, zrzuty ekranu ogłoszenia i strony, numer konta, adres e-mail i numer telefonu sprawcy, dane przesyłki. Polska ma wyspecjalizowane komórki do walki z cyberprzestępczością (Centralne Biuro Zwalczania Cyberprzestępczości – CBZC), do których trafiają poważniejsze sprawy. Poszkodowany może w postępowaniu karnym wystąpić jako pokrzywdzony, a następnie – w razie aktu oskarżenia – uzyskać naprawienie szkody. Sąd, skazując sprawcę, może orzec obowiązek naprawienia szkody w całości lub w części (art. 46 KK), co pozwala odzyskać utracone pieniądze bez odrębnego procesu cywilnego. Niezależnie od tego można dochodzić roszczeń na drodze cywilnej.

Obrona, gdy postawiono Ci zarzut przestępstwa w e-handlu

Zarzut oszustwa lub oszustwa komputerowego nie zawsze oznacza winę – wiele spraw rozstrzyga się na poziomie zamiaru. Jeżeli przedsiębiorca nie wykonał umowy z powodu problemów z dostawcą, choroby czy utraty płynności, a nie działał z góry powziętym zamiarem oszukania, brak jest znamion oszustwa z art. 286 KK – to spór cywilny, nie przestępstwo. Doświadczony obrońca koncentruje się więc na wykazaniu braku zamiaru kierunkowego, na ustaleniu rzeczywistego przebiegu transakcji oraz na ocenie dowodów cyfrowych (logi, adresy IP, metadane), które bywają niejednoznaczne lub uzyskane wadliwie. Podstawowe zasady postępowania osoby, której postawiono zarzut, są takie same jak w innych sprawach karnych: masz prawo odmówić składania wyjaśnień (art. 175 KPK), a skorzystanie z tego prawa nie może być poczytane na Twoją niekorzyść. Nie usuwaj danych ani korespondencji związanej ze sprawą. Jak najszybciej skonsultuj się z obrońcą – obrońcą w sprawie karnej może być adwokat lub radca prawny. W odpowiednich sprawach realne są warunkowe umorzenie postępowania (art. 66 KK) lub dobrowolne poddanie się karze (art. 335 i 387 KPK).