Nielegalne pozyskiwanie danych z systemów kontroli ruchu lotniczego – jaka odpowiedzialność karna i jak się bronić

Systemy kontroli ruchu lotniczego (ATC, ang. air traffic control) przetwarzają wyjątkowo wrażliwe dane: pozycje radarowe, plany lotów, łączność pilot-kontroler, parametry nawigacyjne. Nieuprawniony dostęp do takich systemów albo przechwytywanie przesyłanych w nich danych nie jest w polskim prawie zdarzeniem czysto technicznym czy regulacyjnym – to konkretne przestępstwo przeciwko ochronie informacji z rozdziału XXXIII Kodeksu karnego, a często także przestępstwo godzące w bezpieczeństwo powszechne. Ten artykuł wyjaśnia, jakie przepisy karne realnie wchodzą w grę (art. 267, 268, 268a, 269, 269a i 269b KK), jakie kary grożą, jak wygląda postępowanie oraz jakie linie obrony stosuje obrońca. Wcześniejsza wersja tego wpisu skupiała się wyłącznie na technicznych środkach bezpieczeństwa (szyfrowanie, audyty, monitoring) i operowała pojęciami zaczerpniętymi z prawa obcego. Tutaj porządkujemy stronę prawną według polskiego Kodeksu karnego i wskazujemy, co naprawdę grozi osobie, której postawiono taki zarzut.

Jak polskie prawo karne kwalifikuje nieuprawniony dostęp do danych ATC

Kluczowy jest art. 267 KK. Paragraf 1 karze tego, kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie. Paragraf 2 karze uzyskanie bez uprawnienia dostępu do całości lub części systemu informatycznego – a systemy ATC są typowym przykładem chronionego systemu informatycznego. Paragraf 3 dotyczy nielegalnego podsłuchu i przechwytywania transmisji: kto w celu uzyskania informacji, do której nie jest uprawniony, zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem (np. sniffer przechwytujący łączność radiową lub dane radarowe), popełnia przestępstwo. Paragraf 4 karze ujawnienie innej osobie informacji uzyskanej w sposób opisany w § 1-3. Za czyny z art. 267 KK grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat. Trzeba podkreślić rzecz istotną dla obrony: przestępstwo z § 1 wymaga przełamania lub ominięcia zabezpieczenia – samo wejście do systemu, który nie był w żaden sposób zabezpieczony, nie wyczerpuje tego znamienia, choć może mieścić się w § 2 (dostęp do systemu informatycznego).

Gdy dane są nie tylko pozyskane, ale i niszczone lub zakłócane – art. 268-269a KK

Jeżeli działanie sprawcy nie ogranicza się do pozyskania danych, lecz obejmuje ingerencję w nie, w grę wchodzą kolejne przepisy. Art. 268 KK karze tego, kto bez uprawnienia niszczy, uszkadza, usuwa lub zmienia zapis istotnej informacji albo w inny sposób udaremnia lub utrudnia osobie uprawnionej zapoznanie się z nią; gdy czyn dotyczy zapisu na informatycznym nośniku danych, zagrożenie jest surowsze (do 3 lat). Art. 268a KK chroni dane informatyczne jako takie – karze niszczenie, uszkadzanie, usuwanie, zmianę lub utrudnianie dostępu do danych informatycznych albo zakłócanie ich automatycznego przetwarzania (kara do 3 lat). Z kolei art. 269a KK penalizuje tzw. zakłócanie pracy systemu – istotne zakłócenie pracy systemu informatycznego, systemu teleinformatycznego lub sieci teleinformatycznej przez transmisję, niszczenie, usuwanie, uszkadzanie, utrudnianie dostępu lub zmianę danych (zagrożenie od 3 miesięcy do 5 lat). To właśnie te przepisy, a nie ogólnikowe pojęcie naruszenia danych, opisują w polskim prawie różne warianty ataku na systemy ATC.