Przestępstwa przeciwko bezpieczeństwu infrastruktury finansowej - jakie kary grożą według polskiego prawa?

Pojęcie 'przestępstw przeciwko bezpieczeństwu infrastruktury finansowej' nie jest odrębnym rozdziałem polskiego Kodeksu karnego, lecz zbiorczym określeniem czynów, które godzą w integralność systemu finansowego: oszustw, prania pieniędzy, manipulacji na rynku kapitałowym, przestępstw komputerowych wymierzonych w banki i systemy płatnicze oraz naruszeń obowiązków zgodności (compliance). Każdy z tych czynów ma w polskim prawie własną, precyzyjną podstawę - najczęściej w Kodeksie karnym (zwłaszcza rozdziale XXXIII o przestępstwach przeciwko ochronie informacji i rozdziale XXXVI o przestępstwach przeciwko obrotowi gospodarczemu), a także w ustawie o przeciwdziałaniu praniu pieniędzy oraz w ustawie o krajowym systemie cyberbezpieczeństwa. Poniżej wyjaśniamy, jakie kary realnie grożą za poszczególne czyny, jaką odpowiedzialność ponoszą firmy oraz jakie środki ostrożności pozwalają jej uniknąć. Artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Oszustwo i oszustwo komputerowe (art. 286 i 287 k.k.)

Najczęstszym przestępstwem godzącym w infrastrukturę finansową jest oszustwo z art. 286 § 1 k.k.: kto w celu osiągnięcia korzyści majątkowej doprowadza inną osobę do niekorzystnego rozporządzenia mieniem za pomocą wprowadzenia w błąd, podlega karze pozbawienia wolności od 6 miesięcy do lat 8. Gdy oszustwo dotyczy mienia znacznej wartości (powyżej 200 000 zł) lub mienia o szczególnym znaczeniu dla kultury, sprawca odpowiada za zbrodnię na podstawie art. 294 k.k. - kara wynosi od roku do 10 lat. Odrębnie ścigane jest oszustwo komputerowe z art. 287 k.k. (wpływanie bez upoważnienia na automatyczne przetwarzanie danych w celu osiągnięcia korzyści lub wyrządzenia szkody), zagrożone karą od 3 miesięcy do 5 lat. To właśnie pod art. 287 k.k. kwalifikuje się m.in. manipulowanie systemami bankowości elektronicznej czy nieuprawnione przelewy.

Pranie pieniędzy (art. 299 k.k.) i obowiązki instytucji obowiązanych

Pranie pieniędzy, czyli legalizowanie środków pochodzących z czynu zabronionego, reguluje art. 299 k.k. Czyn podstawowy zagrożony jest karą pozbawienia wolności od 6 miesięcy do lat 8. W typie kwalifikowanym - gdy sprawca działa w porozumieniu z innymi osobami lub osiąga znaczną korzyść majątkową - grozi kara od roku do lat 10, a sąd może dodatkowo orzec grzywnę do 1080 stawek dziennych. Sąd orzeka też przepadek korzyści pochodzących z przestępstwa (art. 45 k.k.). Niezależnie od odpowiedzialności karnej, banki, firmy inwestycyjne, kantory, biura rachunkowe i inne 'instytucje obowiązane' mają obowiązki wynikające z ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (AML): muszą stosować środki należytej staranności wobec klienta, raportować transakcje podejrzane do Generalnego Inspektora Informacji Finansowej i wstrzymywać transakcje. Naruszenie tych obowiązków grozi karami administracyjnymi sięgającymi nawet kilku milionów złotych lub dwukrotności osiągniętej korzyści.

Przestępstwa komputerowe wymierzone w systemy finansowe (art. 267-269b k.k.)

Ataki na infrastrukturę informatyczną banków i systemów płatniczych są ścigane na podstawie rozdziału XXXIII Kodeksu karnego. Nielegalny dostęp do systemu (hacking) z art. 267 k.k. podlega karze do 2 lat pozbawienia wolności. Niszczenie, uszkadzanie lub zmiana danych informatycznych (art. 268a k.k.) oraz zakłócanie pracy systemu, np. atakiem DDoS (art. 269a k.k.), są zagrożone karą od 3 miesięcy do 5 lat. Surowo karane jest też wytwarzanie i udostępnianie tzw. narzędzi hakerskich oraz haseł dostępowych (art. 269b k.k.). Gdy celem ataku jest kradzież środków, czyny te zbiegają się z oszustwem komputerowym (art. 287 k.k.). Dodatkowo operatorzy usług kluczowych w sektorze bankowym podlegają ustawie z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, która nakłada obowiązek zgłaszania poważnych incydentów do właściwego CSIRT pod rygorem kar administracyjnych.

Manipulacja rynkiem i wykorzystywanie informacji poufnych

Integralność rynku kapitałowego chroni ustawa z 29 lipca 2005 r. o obrocie instrumentami finansowymi oraz unijne rozporządzenie MAR. Wykorzystywanie informacji poufnej (insider trading) oraz manipulacja kursem instrumentów finansowych są przestępstwami: za bezprawne ujawnienie lub wykorzystanie informacji poufnej grozi grzywna do kilku milionów złotych oraz kara pozbawienia wolności (zależnie od typu czynu - od 3 miesięcy do nawet 5 lat). Manipulacja rynkiem może być karana grzywną do 5 mln zł lub do trzykrotności korzyści, a w typie kwalifikowanym także więzieniem. Nadzór nad rynkiem sprawuje Komisja Nadzoru Finansowego (KNF), która prowadzi postępowania administracyjne i może nakładać dotkliwe kary pieniężne równolegle do postępowania karnego prowadzonego przez prokuraturę.

Odpowiedzialność firm za działania pracowników

W polskim prawie odpowiedzialność karną ponoszą przede wszystkim osoby fizyczne - konkretni sprawcy oraz członkowie zarządu, którzy nadzorowali dany obszar. Firma (osoba prawna) może jednak ponieść odpowiedzialność na podstawie ustawy z 28 października 2002 r. o odpowiedzialności podmiotów zbiorowych za czyny zabronione pod groźbą kary. Warunkiem jest uprzednie prawomocne skazanie osoby fizycznej działającej w imieniu lub interesie podmiotu, a sąd może orzec wobec firmy karę pieniężną oraz środki takie jak zakaz ubiegania się o zamówienia publiczne czy podanie wyroku do publicznej wiadomości. Niezależnie od tego firma odpowiada cywilnie za szkody wyrządzone klientom (art. 415 i nast. Kodeksu cywilnego) oraz za działania pracowników w ramach tzw. odpowiedzialności za podwładnego. Dlatego skuteczny system compliance i jasny podział obowiązków w zarządzie są nie tylko wymogiem regulacyjnym, ale realną tarczą ograniczającą ryzyko.

Jak ofiara może dochodzić odszkodowania

Pokrzywdzony przestępstwem finansowym ma w Polsce kilka równoległych dróg. Po pierwsze, może złożyć zawiadomienie o podejrzeniu popełnienia przestępstwa i uzyskać status pokrzywdzonego w postępowaniu karnym. Po drugie, w toku procesu karnego może wnioskować, aby sąd zobowiązał skazanego do naprawienia szkody na podstawie art. 46 k.k. - jest to szybka i bezkosztowa dla pokrzywdzonego droga uzyskania kompensaty. Po trzecie, niezależnie od procesu karnego można wytoczyć powództwo cywilne o odszkodowanie (art. 415 k.c.). Kluczowe jest gromadzenie dowodów od samego początku: potwierdzeń przelewów, korespondencji, umów, zrzutów ekranu i historii rachunku. Roszczenia cywilne przedawniają się co do zasady z upływem 3 lat od dnia, w którym poszkodowany dowiedział się o szkodzie i osobie zobowiązanej, nie później niż 10 lat od zdarzenia, dlatego nie warto zwlekać.

Strategie zapobiegania i zgodności (compliance)

Najlepszą ochroną przed odpowiedzialnością jest dobrze wdrożony system zgodności. W praktyce obejmuje on: ustanowienie kontroli wewnętrznych i podziału obowiązków (aby żadna transakcja nie zależała od jednej osoby), wyznaczenie osoby odpowiedzialnej za przeciwdziałanie praniu pieniędzy zgodnie z ustawą AML, cykliczne szkolenia pracowników z rozpoznawania oszustw i transakcji podejrzanych, wdrożenie narzędzi monitorujących i wykrywających anomalie w czasie rzeczywistym, prowadzenie oceny ryzyka i audytów oraz procedurę zgłaszania nieprawidłowości (w tym ochronę sygnalistów na podstawie ustawy o ochronie sygnalistów). Dla firm objętych ustawą o krajowym systemie cyberbezpieczeństwa istotne jest też testowanie zabezpieczeń IT i procedury reagowania na incydenty. Wykazanie, że firma dochowała należytej staranności, ma znaczenie zarówno przy ocenie odpowiedzialności podmiotu zbiorowego, jak i przy wymiarze kar administracyjnych.