Nielegalne pozyskiwanie danych z systemów kontroli ruchu lotniczego – jaka odpowiedzialność karna i jak się bronić

Systemy kontroli ruchu lotniczego (ATC, ang. air traffic control) przetwarzają wyjątkowo wrażliwe dane: pozycje radarowe, plany lotów, łączność pilot-kontroler, parametry nawigacyjne. Nieuprawniony dostęp do takich systemów albo przechwytywanie przesyłanych w nich danych nie jest w polskim prawie zdarzeniem czysto technicznym czy regulacyjnym – to konkretne przestępstwo przeciwko ochronie informacji z rozdziału XXXIII Kodeksu karnego, a często także przestępstwo godzące w bezpieczeństwo powszechne. Ten artykuł wyjaśnia, jakie przepisy karne realnie wchodzą w grę (art. 267, 268, 268a, 269, 269a i 269b KK), jakie kary grożą, jak wygląda postępowanie oraz jakie linie obrony stosuje obrońca. Wcześniejsza wersja tego wpisu skupiała się wyłącznie na technicznych środkach bezpieczeństwa (szyfrowanie, audyty, monitoring) i operowała pojęciami zaczerpniętymi z prawa obcego. Tutaj porządkujemy stronę prawną według polskiego Kodeksu karnego i wskazujemy, co naprawdę grozi osobie, której postawiono taki zarzut.

Jak polskie prawo karne kwalifikuje nieuprawniony dostęp do danych ATC

Kluczowy jest art. 267 KK. Paragraf 1 karze tego, kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie. Paragraf 2 karze uzyskanie bez uprawnienia dostępu do całości lub części systemu informatycznego – a systemy ATC są typowym przykładem chronionego systemu informatycznego. Paragraf 3 dotyczy nielegalnego podsłuchu i przechwytywania transmisji: kto w celu uzyskania informacji, do której nie jest uprawniony, zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem (np. sniffer przechwytujący łączność radiową lub dane radarowe), popełnia przestępstwo. Paragraf 4 karze ujawnienie innej osobie informacji uzyskanej w sposób opisany w § 1-3. Za czyny z art. 267 KK grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat. Trzeba podkreślić rzecz istotną dla obrony: przestępstwo z § 1 wymaga przełamania lub ominięcia zabezpieczenia – samo wejście do systemu, który nie był w żaden sposób zabezpieczony, nie wyczerpuje tego znamienia, choć może mieścić się w § 2 (dostęp do systemu informatycznego).

Gdy dane są nie tylko pozyskane, ale i niszczone lub zakłócane – art. 268-269a KK

Jeżeli działanie sprawcy nie ogranicza się do pozyskania danych, lecz obejmuje ingerencję w nie, w grę wchodzą kolejne przepisy. Art. 268 KK karze tego, kto bez uprawnienia niszczy, uszkadza, usuwa lub zmienia zapis istotnej informacji albo w inny sposób udaremnia lub utrudnia osobie uprawnionej zapoznanie się z nią; gdy czyn dotyczy zapisu na informatycznym nośniku danych, zagrożenie jest surowsze (do 3 lat). Art. 268a KK chroni dane informatyczne jako takie – karze niszczenie, uszkadzanie, usuwanie, zmianę lub utrudnianie dostępu do danych informatycznych albo zakłócanie ich automatycznego przetwarzania (kara do 3 lat). Z kolei art. 269a KK penalizuje tzw. zakłócanie pracy systemu – istotne zakłócenie pracy systemu informatycznego, systemu teleinformatycznego lub sieci teleinformatycznej przez transmisję, niszczenie, usuwanie, uszkadzanie, utrudnianie dostępu lub zmianę danych (zagrożenie od 3 miesięcy do 5 lat). To właśnie te przepisy, a nie ogólnikowe pojęcie naruszenia danych, opisują w polskim prawie różne warianty ataku na systemy ATC.

Sabotaż danych o szczególnym znaczeniu dla bezpieczeństwa – art. 269 KK

Najpoważniejszy przepis dotyczy sytuacji, gdy zaatakowane dane mają strategiczne znaczenie. Art. 269 § 1 KK karze tego, kto niszczy, uszkadza, usuwa lub zmienia dane informatyczne o szczególnym znaczeniu dla obronności kraju, bezpieczeństwa w komunikacji, funkcjonowania administracji rządowej, innego organu państwowego lub instytucji państwowej albo samorządu terytorialnego, albo zakłóca lub uniemożliwia automatyczne przetwarzanie, gromadzenie lub przekazywanie takich danych. Zagrożenie jest poważne – kara pozbawienia wolności od 6 miesięcy do 8 lat. Dane w systemach kontroli ruchu lotniczego mogą być uznane za dane o szczególnym znaczeniu dla bezpieczeństwa w komunikacji, dlatego atak na nie potencjalnie kwalifikuje się właśnie z art. 269 KK, a nie z łagodniejszych przepisów. To, czy konkretne dane mają taki charakter, jest jednak przedmiotem oceny dowodowej i bywa polem sporu między obroną a oskarżeniem.

Narzędzia hakerskie i odpowiedzialność za ich tworzenie lub udostępnianie – art. 269b KK

Polskie prawo karze nie tylko sam atak, ale również przygotowanie do niego w postaci obrotu narzędziami. Art. 269b § 1 KK penalizuje wytwarzanie, pozyskiwanie, zbywanie lub udostępnianie innym osobom urządzeń lub programów komputerowych przystosowanych do popełnienia przestępstw z art. 267 § 3, art. 268a § 1 albo § 2 w związku z § 1, art. 269 § 2 albo art. 269a, a także haseł komputerowych, kodów dostępu lub innych danych umożliwiających nieuprawniony dostęp do informacji przechowywanych w systemie informatycznym. Zagrożenie wynosi od 3 miesięcy do 5 lat pozbawienia wolności. W praktyce oznacza to, że odpowiedzialność karna może objąć także osobę, która sama nie wchodziła do systemu ATC, lecz dostarczyła sprawcy oprogramowanie, hasła lub kody dostępu. Sąd może orzec przepadek takich urządzeń i programów, a w określonych sytuacjach przepadek następuje obligatoryjnie (art. 269b § 2 KK).

Tryb ścigania i przebieg postępowania

Sposób ścigania zależy od kwalifikacji. Część czynów z art. 267 i 268 KK jest ścigana na wniosek pokrzywdzonego (art. 267 § 5 oraz art. 268 § 4 KK) – co dla obrony bywa istotne, bo brak skutecznego wniosku może blokować postępowanie. Natomiast przestępstwa godzące w bezpieczeństwo systemów strategicznych (np. art. 269 KK) ścigane są z urzędu. Postępowanie zwykle zaczyna się od czynności operacyjnych i zabezpieczenia dowodów cyfrowych: kopii binarnych nośników, logów dostępu, danych telekomunikacyjnych. Często powoływani są biegli z zakresu informatyki śledczej, którzy odtwarzają ślad cyfrowy i wiążą aktywność z konkretnym urządzeniem czy kontem. Na wczesnym etapie może pojawić się zatrzymanie, przeszukanie i zabezpieczenie sprzętu, a w poważniejszych sprawach wniosek o tymczasowe aresztowanie. Już na tym etapie udział obrońcy ma realne znaczenie – także przy kontroli legalności i prawidłowości zabezpieczenia dowodów elektronicznych.

Linie obrony w sprawach o nieuprawniony dostęp do systemów ATC

Obrona koncentruje się przede wszystkim na znamionach czynu. Po pierwsze – kwestia uprawnienia: jeżeli oskarżony miał (choćby ograniczony) tytuł dostępu do systemu lub danych, znamię braku uprawnienia może nie być spełnione. Po drugie – istnienie i przełamanie zabezpieczenia: przy art. 267 § 1 KK oskarżenie musi wykazać, że dane były szczególnie zabezpieczone i że sprawca to zabezpieczenie przełamał lub ominął. Po trzecie – umyślność i cel: czyny te są umyślne, a art. 267 § 3 KK wymaga wręcz działania w celu uzyskania informacji nieprzeznaczonej dla sprawcy; przypadkowe natknięcie się na dane bez takiego celu to inna sytuacja. Po czwarte – tożsamość sprawcy: w sprawach cyfrowych częstym polem sporu jest przypisanie aktywności konkretnej osobie (współdzielone IP, dostęp osób trzecich, złośliwe oprogramowanie na urządzeniu). Po piąte – prawidłowość dowodów: obrońca bada, czy kopie danych zabezpieczono zgodnie z procedurą, czy zachowano ciągłość dowodową i czy opinia biegłego jest rzetelna. Wreszcie – kwalifikacja: dążenie do przyjęcia łagodniejszego przepisu (np. art. 267 zamiast art. 269 KK) lub wykazanie, że dane nie miały szczególnego znaczenia dla bezpieczeństwa.

Co zrobić po postawieniu zarzutu i jak działać prewencyjnie

Osobie, której postawiono zarzut, doradza się przede wszystkim, by nie składała wyjaśnień przed konsultacją z obrońcą – ma prawo odmówić wyjaśnień i odpowiedzi na pytania (art. 175 KPK), a skorzystanie z tego prawa nie może być poczytane na jej niekorzyść. Nie wolno usuwać, modyfikować ani niszczyć danych i urządzeń związanych ze sprawą, bo grozi to dodatkowymi zarzutami i pogarsza sytuację dowodową. Warto zabezpieczyć materiały świadczące na swoją korzyść (uprawnienia, zgody, korespondencję) i jak najszybciej skonsultować się z adwokatem lub radcą prawnym. Z perspektywy instytucji eksploatującej systemy ATC (np. PAŻP – Polska Agencja Żeglugi Powietrznej) techniczne środki opisane w pierwotnej wersji artykułu – kontrola dostępu, szyfrowanie transmisji, ciągły monitoring, procedury reagowania na incydenty, szkolenia – pozostają jak najbardziej zasadne, ale jako element zgodności z przepisami o krajowym systemie cyberbezpieczeństwa i o ochronie infrastruktury krytycznej, a nie jako samoistna podstawa odpowiedzialności karnej sprawcy.