Dystrybucja złośliwego oprogramowania (art. 269b KK) – odpowiedzialność karna i obrona

Dystrybucja złośliwego oprogramowania (tzw. malware – wirusów, trojanów, oprogramowania szpiegującego, ransomware) to w polskim prawie nie tylko problem techniczny, lecz przede wszystkim przestępstwo przeciwko ochronie informacji uregulowane w rozdziale XXXIII Kodeksu karnego. Centralnym przepisem jest art. 269b KK, który penalizuje wytwarzanie, pozyskiwanie, zbywanie lub udostępnianie programów komputerowych przystosowanych do popełnienia określonych przestępstw komputerowych. W praktyce zarzut taki pada wobec twórców i sprzedawców narzędzi hakerskich, osób udostępniających ransomware w modelu 'as a service', a niekiedy także wobec administratorów, badaczy bezpieczeństwa czy zwykłych użytkowników, którzy nieświadomie przesłali dalej zainfekowany plik. Ponieważ znamiona tych czynów są nieostre, a granica między legalnym testowaniem zabezpieczeń a przestępstwem bywa cienka, dobór właściwej linii obrony ma realne znaczenie. W tym artykule wyjaśniamy, jakie przepisy wchodzą w grę, jakie kary faktycznie grożą, jak wygląda materiał dowodowy w sprawach informatycznych oraz jak działać po postawieniu zarzutu.

Podstawa prawna – art. 269b KK i pokrewne przestępstwa komputerowe

Najważniejszym przepisem jest art. 269b § 1 KK: karze on tego, kto wytwarza, pozyskuje, zbywa lub udostępnia innym osobom urządzenia lub programy komputerowe przystosowane do popełnienia przestępstwa określonego w art. 165 § 1 pkt 4 KK (sprowadzenie niebezpieczeństwa przez zakłócenie systemów informatycznych), art. 267 § 3 KK (nielegalne uzyskanie informacji – podsłuch, sniffer), art. 268a § 1 albo 2 KK, art. 269 § 1 lub 2 KK oraz art. 269a KK, a także hasła komputerowe, kody dostępu lub inne dane umożliwiające nieuprawniony dostęp do informacji. Malware najczęściej kwalifikuje się właśnie jako 'program przystosowany do popełnienia przestępstwa'. W zależności od skutku dystrybucja i użycie złośliwego oprogramowania może się też wiązać z odpowiedzialnością za niszczenie lub zmianę danych informatycznych (art. 268 i art. 268a KK), za tzw. sabotaż komputerowy, czyli niszczenie danych o szczególnym znaczeniu (art. 269 KK), za zakłócanie pracy systemu lub sieci, np. atak DDoS lub szyfrowanie ransomware (art. 269a KK), a gdy celem jest korzyść majątkowa – za oszustwo komputerowe (art. 287 KK). Sam nielegalny dostęp do systemu penalizuje art. 267 KK.

Jakie kary realnie grożą – bez przesady

Za czyn z art. 269b § 1 KK grozi kara pozbawienia wolności od 3 miesięcy do 5 lat. Za niszczenie lub utrudnianie dostępu do danych z art. 268a § 1 KK grozi kara do 3 lat pozbawienia wolności, a jeśli sprawca wyrządza znaczną szkodę majątkową (art. 268a § 2 KK) – od 3 miesięcy do 5 lat. Sabotaż komputerowy z art. 269 § 1 KK (niszczenie danych o szczególnym znaczeniu dla obronności, bezpieczeństwa, administracji) zagrożony jest karą od 6 miesięcy do 8 lat. Zakłócanie pracy systemu z art. 269a KK to kara od 3 miesięcy do 5 lat. Oszustwo komputerowe z art. 287 § 1 KK to kara od 3 miesięcy do 5 lat, a w wypadku mniejszej wagi – grzywna, ograniczenie wolności albo pozbawienie wolności do roku. Należy podkreślić, że samo zagrożenie ustawowe nie przesądza o realnym wyroku – sąd wymierza karę w granicach przewidzianych przez ustawę, kierując się dyrektywami z art. 53 KK (stopień winy, społeczna szkodliwość, motywacja, dotychczasowy tryb życia, naprawienie szkody). Przy występkach o niewielkiej szkodliwości realne bywa warunkowe umorzenie albo kara wolnościowa.