Przestępstwa przeciwko ochronie informacji - art. 265-269b KK

Ochrona informacji niejawnych i tajemnic prawnie chronionych to w Polsce odrębny rozdział prawa karnego - Rozdział XXXIII Kodeksu karnego (art. 265-269b), zatytułowany "Przestępstwa przeciwko ochronie informacji". Dotyczy nie tylko urzędników i funkcjonariuszy, lecz także prawników, lekarzy, księgowych, pracowników firm oraz administratorów systemów IT. Ujawnienie informacji o klauzuli niejawności albo naruszenie tajemnicy zawodowej może skończyć się karą pozbawienia wolności, grzywną oraz odpowiedzialnością dyscyplinarną i cywilną. W tym artykule wyjaśniamy, jak polskie prawo - ustawa z 5 sierpnia 2010 r. o ochronie informacji niejawnych oraz Kodeks karny - klasyfikuje informacje, jakie konkretnie czyny są karalne, jakie grożą kary i jak wygląda realna obrona. Świadomie pomijamy zagraniczne przykłady (takie jak sprawy NSA czy amerykańskie wycieki danych), bo dla polskiego czytelnika liczą się obowiązujące tu przepisy.

Cztery klauzule tajności według polskiego prawa

Polski system klasyfikacji reguluje ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych. Przewiduje ona cztery klauzule tajności (art. 5): "ściśle tajne" (najwyższa - gdy nieuprawnione ujawnienie spowodowałoby wyjątkowo poważną szkodę dla RP), "tajne" (poważna szkoda), "poufne" (szkoda) oraz "zastrzeżone" (szkodliwy wpływ na wykonywanie zadań przez organy lub jednostki). To nie to samo co tajemnice zawodowe (adwokacka, radcowska, lekarska, bankowa) ani dane osobowe. Dostęp do informacji niejawnych wymaga poświadczenia bezpieczeństwa i przeszkolenia w zakresie ochrony informacji niejawnych, a nadzór nad systemem sprawuje Agencja Bezpieczeństwa Wewnętrznego (dla sfery cywilnej) i Służba Kontrwywiadu Wojskowego (dla sfery wojskowej). Uwaga: w polskim porządku prawnym nie istnieją odrębne akty pod nazwą "Ustawa o Bezpieczeństwie Narodowym" czy "Ustawa o Szpiegostwie" - to kategorie obce, nieprzekładalne wprost na nasze prawo.

Art. 265 KK - ujawnienie informacji niejawnych o klauzuli "tajne" lub "ściśle tajne"

Art. 265 § 1 KK stanowi, że kto ujawnia lub wbrew przepisom wykorzystuje informacje niejawne o klauzuli "tajne" lub "ściśle tajne", podlega karze pozbawienia wolności od 3 miesięcy do 5 lat. Jeżeli informację taką ujawniono osobie działającej w imieniu lub na rzecz podmiotu zagranicznego, zagrożenie rośnie do od 6 miesięcy do 8 lat (art. 265 § 2). Karalne jest też nieumyślne ujawnienie takiej informacji, z którą sprawca zapoznał się w związku z pełnieniem funkcji publicznej lub otrzymanym upoważnieniem - grozi za to grzywna, kara ograniczenia wolności albo pozbawienia wolności do roku (art. 265 § 3). Warto zauważyć, że ten przepis chroni najwyższe klauzule; informacje "poufne" i "zastrzeżone" są chronione przede wszystkim na gruncie odpowiedzialności służbowej, dyscyplinarnej i przepisów ustawy o ochronie informacji niejawnych.

Art. 266 KK - naruszenie tajemnicy zawodowej i służbowej

Art. 266 § 1 KK penalizuje ujawnienie lub wykorzystanie - wbrew przepisom ustawy lub przyjętemu zobowiązaniu - informacji, z którą sprawca zapoznał się w związku z pełnioną funkcją, wykonywaną pracą, działalnością publiczną, społeczną, gospodarczą lub naukową. Grozi za to grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat. To właśnie ten przepis dotyczy najczęściej prawników, lekarzy, pracowników banków i firm. Funkcjonariusz publiczny, który ujawnia osobie nieuprawnionej informację niejawną o klauzuli "zastrzeżone" lub "poufne" albo informację, którą uzyskał w związku z wykonywaniem czynności służbowych, a której ujawnienie może narazić na szkodę prawnie chroniony interes, podlega karze pozbawienia wolności do 3 lat (art. 266 § 2). Ściganie czynu z § 1 następuje na wniosek pokrzywdzonego.

Cyberprzestępstwa informacyjne - art. 267-269b KK

Rozdział XXXIII obejmuje także czyny "cyfrowe". Art. 267 KK (hacking) penalizuje uzyskanie dostępu do informacji dla sprawcy nieprzeznaczonej przez przełamanie lub ominięcie zabezpieczeń, a także podsłuch i nielegalne uzyskiwanie danych - kara grzywny, ograniczenia wolności albo pozbawienia wolności do 2 lat (ściganie na wniosek). Art. 268 i 268a KK chronią integralność i dostępność danych (niszczenie, uszkadzanie, utrudnianie dostępu do informacji lub do danych informatycznych). Art. 269 KK dotyczy sabotażu komputerowego godzącego w dane o szczególnym znaczeniu dla obronności, bezpieczeństwa lub administracji - z surowszym zagrożeniem (od 6 miesięcy do 8 lat). Art. 269a KK obejmuje zakłócanie pracy systemu informatycznego, a art. 269b KK - wytwarzanie i udostępnianie tzw. narzędzi hakerskich. To przepisy istotne dla firm i kancelarii zarządzających danymi klientów.

Tajemnica adwokacka i radcowska - szczególny status prawnika

Prawnik jest związany tajemnicą zawodową nie tylko karnie (art. 266 KK), ale i ustawowo: art. 6 Prawa o adwokaturze oraz art. 3 ustawy o radcach prawnych nakazują zachowanie w tajemnicy wszystkiego, o czym adwokat lub radca dowiedział się w związku z udzielaniem pomocy prawnej. Tajemnica obrończa jest bezwzględna - adwokata broniącego w sprawie karnej nie wolno przesłuchiwać co do faktów objętych tą tajemnicą (art. 178 KPK). Tajemnica adwokacka i radcowska może być zwolniona przez sąd tylko wyjątkowo, gdy jest to niezbędne dla dobra wymiaru sprawiedliwości, a okoliczności nie można ustalić inaczej (art. 180 § 2 KPK). Dla kancelarii oznacza to obowiązek wdrożenia procedur bezpiecznego obiegu dokumentów: szyfrowania, kontroli dostępu, polityki czystego biurka i przeszkolenia pracowników. Naruszenie tajemnicy to nie tylko ryzyko karne, ale i odpowiedzialność dyscyplinarna przed sądem dyscyplinarnym samorządu.

Zbieg z RODO i odpowiedzialność cywilna

Gdy ujawnione informacje obejmują dane osobowe, do odpowiedzialności karnej dochodzi reżim RODO (rozporządzenie 2016/679) oraz ustawa z 10 maja 2018 r. o ochronie danych osobowych. Prezes Urzędu Ochrony Danych Osobowych może nałożyć administracyjną karę pieniężną, a osoba poszkodowana ma prawo do odszkodowania na podstawie art. 82 RODO i art. 415 oraz 448 Kodeksu cywilnego (naruszenie dóbr osobistych - prawa do prywatności). Naruszenie tajemnicy zawodowej może więc skutkować równolegle: postępowaniem karnym (art. 266 KK), administracyjnym (UODO), cywilnym (roszczenia poszkodowanego) i dyscyplinarnym. Dla kancelarii i firm kluczowe jest zgłoszenie naruszenia ochrony danych do PUODO w ciągu 72 godzin (art. 33 RODO) oraz - gdy ryzyko jest wysokie - zawiadomienie osób, których dane dotyczą.

Obrona i prewencja - co realnie zmniejsza ryzyko

Linia obrony w sprawach z Rozdziału XXXIII opiera się na konkretach: czy informacja faktycznie miała chronioną klauzulę lub status tajemnicy; czy sprawca działał umyślnie (większość czynów jest umyślna); czy zachodzi kontratyp lub usprawiedliwiony błąd (art. 30 KK); czy ujawnienie nastąpiło "wbrew przepisom" - bo zgodne z prawem przekazanie informacji organowi uprawnionemu lub działanie sygnalisty chronionego ustawą z 14 czerwca 2024 r. o ochronie sygnalistów nie jest bezprawne. Po stronie prewencji: jasna polityka klasyfikacji i obiegu informacji, umowy o zachowaniu poufności (NDA) z pracownikami i podwykonawcami, szyfrowanie, regularne audyty bezpieczeństwa i szkolenia. Jeśli już doszło do zarzutu, warto jak najwcześniej skonsultować się z adwokatem - od momentu pierwszej czynności procesowej obowiązuje prawo do odmowy wyjaśnień (art. 175 KPK) i prawo do obrońcy (art. 6 KPK).