Przestępstwa przeciwko bezpieczeństwu danych i sieci - art. 267-269c Kodeksu karnego i odpowiedzialność

Polski Kodeks karny chroni poufność, integralność i dostępność informacji oraz systemów teleinformatycznych w Rozdziale XXXIII, zatytułowanym "Przestępstwa przeciwko ochronie informacji". To właśnie tu mieszczą się czyny wymierzone w bezpieczeństwo infrastruktury przesyłu danych: hacking (art. 267), niszczenie danych (art. 268 i 268a), sabotaż komputerowy (art. 269), zakłócanie pracy systemu (art. 269a) oraz wytwarzanie i udostępnianie narzędzi hakerskich (art. 269b). Kary rozciągają się od grzywny po 8 lat pozbawienia wolności w przypadkach najpoważniejszych. Poniżej wyjaśniamy, które artykuły obejmują jakie zachowania, jakie kary realnie grożą oraz jakie linie obrony są dostępne - wszystko w oparciu o aktualne brzmienie Kodeksu karnego.

Art. 267 KK - nieuprawniony dostęp do informacji i podsłuch (hacking)

Art. 267 chroni poufność informacji. Paragraf 1 penalizuje uzyskanie dostępu do informacji nieprzeznaczonej dla sprawcy poprzez otwarcie zamkniętego pisma, podłączenie się do sieci telekomunikacyjnej lub przełamanie albo ominięcie elektronicznego, magnetycznego, informatycznego lub innego szczególnego zabezpieczenia. Paragraf 2 dotyczy uzyskania bez uprawnienia dostępu do całości lub części systemu informatycznego. Paragraf 3 obejmuje zakładanie podsłuchu i posługiwanie się urządzeniem podsłuchowym lub oprogramowaniem w celu pozyskania informacji. Zagrożenie to grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2. Ważne: ściganie następuje na wniosek pokrzywdzonego (art. 267 § 5) - bez takiego wniosku prokuratura nie prowadzi sprawy. To istotny element zarówno strategii pokrzywdzonego, jak i obrony.

Art. 268 i 268a KK - niszczenie, uszkadzanie i zmiana danych

Art. 268 KK chroni dostępność i integralność zapisu informacji. Karze tego, kto nie będąc uprawnionym niszczy, uszkadza, usuwa lub zmienia zapis istotnej informacji albo w inny sposób udaremnia lub utrudnia osobie uprawnionej zapoznanie się z nią - grzywną, ograniczeniem wolności albo pozbawieniem wolności do lat 2, a gdy czyn dotyczy zapisu na informatycznym nośniku danych - do lat 3. Art. 268a idzie dalej i obejmuje niszczenie, uszkadzanie, usuwanie, zmianę lub utrudnianie dostępu do danych informatycznych albo zakłócanie ich automatycznego przetwarzania (zagrożenie do 3 lat, a w typie kwalifikowanym powodującym znaczną szkodę majątkową - od 3 miesięcy do 5 lat). Te przepisy są stosowane np. wobec byłego pracownika, który kasuje firmową bazę danych, lub wobec sprawcy ataku ransomware szyfrującego pliki.

Art. 269 KK - sabotaż komputerowy danych o szczególnym znaczeniu

Art. 269 to najpoważniejszy z tej grupy. Karze tego, kto niszczy, uszkadza, usuwa lub zmienia dane informatyczne o szczególnym znaczeniu dla obronności kraju, bezpieczeństwa w komunikacji, funkcjonowania administracji rządowej, innego organu państwowego lub instytucji państwowej albo samorządu terytorialnego, albo zakłóca lub uniemożliwia automatyczne przetwarzanie, gromadzenie lub przekazywanie takich danych. Zagrożenie wynosi od 6 miesięcy do 8 lat pozbawienia wolności. Tej samej karze podlega ten, kto dopuszcza się czynu niszcząc albo wymieniając informatyczny nośnik danych lub niszcząc albo uszkadzając urządzenie służące do automatycznego przetwarzania, gromadzenia lub przesyłania danych. To właśnie z tego przepisu pochodzi górna granica 8 lat - dotyczy ataków na infrastrukturę krytyczną i systemy państwowe, a nie zwykłego nieuprawnionego dostępu.

Art. 269a i 269b KK - zakłócanie systemu i narzędzia hakerskie

Art. 269a penalizuje istotne zakłócanie pracy systemu informatycznego, systemu teleinformatycznego lub sieci teleinformatycznej (np. atak DDoS) przez transmisję, zniszczenie, usunięcie, uszkodzenie, utrudnienie dostępu lub zmianę danych - zagrożenie od 3 miesięcy do 5 lat pozbawienia wolności. Art. 269b dotyczy etapu przygotowawczego: karze tego, kto wytwarza, pozyskuje, zbywa lub udostępnia innym osobom urządzenia lub programy komputerowe przystosowane do popełnienia przestępstw z art. 267 § 3, 268a, 269 lub 269a, a także hasła komputerowe, kody dostępu lub inne dane umożliwiające nieuprawniony dostęp (od 3 miesięcy do 5 lat). Co istotne, art. 269b § 1a wyłącza odpowiedzialność osób działających wyłącznie w celu zabezpieczenia systemu (legalni pentesterzy, badacze bezpieczeństwa) - to ważne dla branży cyberbezpieczeństwa.

Kary i okoliczności wpływające na wymiar - co realnie grozi

Realny wymiar kary zależy od kwalifikacji czynu i okoliczności. Za zwykły nieuprawniony dostęp (art. 267) sąd najczęściej orzeka grzywnę lub karę w zawieszeniu, zwłaszcza wobec sprawcy niekaranego i przy niewielkiej szkodzie. Atak na system administracji państwowej (art. 269) traktowany jest najsurowiej - to zbrodnia przeciwko porządkowi publicznemu o górnej granicy 8 lat. Na wymiar kary wpływają dyrektywy z art. 53 KK: stopień winy, społeczna szkodliwość czynu, motywacja, rozmiar szkody, a także zachowanie po czynie. Sąd może też orzec obowiązek naprawienia szkody (art. 46 KK) na rzecz pokrzywdzonego oraz przepadek narzędzi (art. 44 KK). Dodatkowo sprawca odpowiada cywilnie za szkodę wyrządzoną czynem niedozwolonym (art. 415 Kodeksu cywilnego).

Skutki dla organizacji - odpowiedzialność, RODO i utrata zaufania

Naruszenie bezpieczeństwa danych w firmie to nie tylko sprawa karna sprawcy. Gdy incydent dotyczy danych osobowych, na administratorze ciążą obowiązki z RODO: zgłoszenie naruszenia Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin (art. 33 rozporządzenia 2016/679), oraz - przy wysokim ryzyku - zawiadomienie osób, których dane dotyczą (art. 34). Niezależnie od tego operator usługi kluczowej lub dostawca usługi cyfrowej ma obowiązki zgłaszania incydentów wynikające z ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Do tego dochodzi realne ryzyko utraty zaufania klientów i roszczeń odszkodowawczych. Dlatego po wykryciu ataku kluczowe jest zabezpieczenie dowodów (logów, kopii) i równoległe zawiadomienie organów ścigania.

Linie obrony w sprawach o przestępstwa komputerowe

Skuteczna obrona zaczyna się od zakwestionowania znamion czynu. Po pierwsze - uprawnienie: jeśli oskarżony miał dostęp na podstawie umowy, polecenia służbowego lub roli administratora, brak znamienia "nieuprawnienia". Po drugie - umyślność: przestępstwa z Rozdziału XXXIII są umyślne, więc działanie przypadkowe (np. omyłkowe usunięcie pliku, automatyczna aktualizacja) nie wypełnia znamion. Po trzecie - brak przełamania zabezpieczenia: art. 267 § 1 wymaga przełamania lub ominięcia szczególnego zabezpieczenia; dostęp do systemu otwartego, bez ochrony, może nie wyczerpywać znamion. Po czwarte - kontratyp z art. 269b § 1a dla badaczy bezpieczeństwa. Po piąte - brak wniosku pokrzywdzonego przy art. 267 (czyn wnioskowy). W sprawach z art. 269 obrona koncentruje się na wykazaniu, że dane nie miały "szczególnego znaczenia" w rozumieniu przepisu, co obniża kwalifikację do łagodniejszych art. 268a lub 269a.

Profilaktyka i monitorowanie - jak ograniczyć ryzyko prawne

Najlepszą ochroną - i dowodem należytej staranności w razie sporu - jest profilaktyka. W praktyce oznacza to: politykę zarządzania dostępem (zasada minimalnych uprawnień), rejestrowanie zdarzeń (logi pozwalające ustalić sprawcę), regularne audyty bezpieczeństwa i testy penetracyjne prowadzone na podstawie pisemnej zgody, szyfrowanie danych w przesyle i spoczynku oraz systemy wykrywania włamań. Po stronie organizacyjnej istotne są szkolenia pracowników, bo to błąd ludzki najczęściej otwiera drogę atakom. Operatorzy infrastruktury objętej ustawą o krajowym systemie cyberbezpieczeństwa muszą dodatkowo wdrożyć system zarządzania bezpieczeństwem i wyznaczyć osobę do kontaktu w sprawach incydentów. Udokumentowane środki bezpieczeństwa zmniejszają ryzyko incydentu i wzmacniają pozycję firmy w ewentualnym postępowaniu.