Przestępstwa przeciwko ochronie informacji w systemach IT - co mówi Kodeks karny?

Przestępstwa przeciwko ochronie informacji są uregulowane w Rozdziale XXXIII Kodeksu karnego (art. 265-269c). Obejmują one zarówno czyny godzące w informacje niejawne, jak i typowe cyberprzestępstwa wymierzone w bezpieczeństwo systemów teleinformatycznych: nieuprawniony dostęp (hacking), podsłuch i przechwytywanie danych, niszczenie lub zmianę danych oraz zakłócanie pracy systemów. Dla firm i instytucji oznacza to, że naruszenie cudzego systemu IT nie jest tylko kwestią cywilną czy regulaminową - może stanowić przestępstwo ścigane przez prokuraturę.

Najważniejsze przepisy: art. 267-269b KK

Art. 267 KK penalizuje nieuprawniony dostęp do informacji (m.in. przełamanie lub ominięcie zabezpieczeń, tzw. hacking) oraz nielegalny podsłuch i przechwytywanie danych - zagrożenie to grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2. Art. 268 i 268a KK dotyczą bezprawnego niszczenia, uszkadzania lub utrudniania dostępu do danych (sabotaż danych). Art. 269 KK przewiduje surowszą odpowiedzialność za niszczenie danych o szczególnym znaczeniu dla obronności, bezpieczeństwa lub administracji. Art. 269a KK penalizuje zakłócanie pracy systemu teleinformatycznego (np. ataki DoS), a art. 269b KK - wytwarzanie i udostępnianie tzw. narzędzi hakerskich (złośliwego oprogramowania, haseł czy kodów dostępu).

Informacje niejawne: art. 265 i 266 KK oraz ustawa z 2010 r.

Art. 265 KK chroni informacje niejawne o klauzuli 'tajne' lub 'ściśle tajne' - ujawnienie lub wykorzystanie ich wbrew przepisom jest zagrożone karą pozbawienia wolności. Art. 266 KK dotyczy naruszenia tajemnicy zawodowej i służbowej. Zasady klasyfikowania i ochrony informacji niejawnych określa ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych. To właśnie ta ustawa definiuje pojęcie informacji niejawnej oraz nakłada obowiązki na podmioty, które takie informacje przetwarzają. Należy odróżnić informacje niejawne (sektor publiczny, obronność) od danych osobowych chronionych przez RODO oraz od tajemnicy przedsiębiorstwa chronionej odrębnie.

Tryb ścigania i znaczenie zabezpieczeń

Część przestępstw z tego rozdziału (np. art. 267) ściga się na wniosek pokrzywdzonego, co oznacza, że organy ścigania podejmują działania dopiero po jego zgłoszeniu. Dla oceny, czy doszło do przestępstwa hackingu z art. 267 § 1 KK, istotne bywa, czy informacja była zabezpieczona - przepis mówi o uzyskaniu dostępu poprzez przełamanie albo ominięcie zabezpieczeń. Z perspektywy organizacji oznacza to, że dokumentowanie incydentu, zachowanie logów i niezwłoczne zgłoszenie naruszenia są kluczowe zarówno dla postępowania karnego, jak i dla równoległych obowiązków wynikających z RODO.