Nielegalne pozyskiwanie danych z systemów zarządzania ruchem - jak wygląda obrona?

Systemy zarządzania ruchem drogowym - kamery, czujniki, rejestratory przejazdów - gromadzą dane, które często pozwalają zidentyfikować konkretny pojazd i jego użytkownika. Bezprawny dostęp do takich danych nie jest w polskim prawie odrębnym, samodzielnym przestępstwem o własnej nazwie. W praktyce kwalifikuje się go najczęściej z art. 267 Kodeksu karnego (bezprawne uzyskanie informacji, tzw. hacking) oraz ocenia przez pryzmat przepisów o ochronie danych osobowych - RODO i ustawy z 10 maja 2018 r. o ochronie danych osobowych. Ten tekst pokazuje, jakie argumenty obronne realnie funkcjonują w polskim porządku prawnym, a które elementy popularnych poradników są zapożyczone z prawa anglosaskiego i do Polski nie pasują.

Jak polskie prawo kwalifikuje bezprawny dostęp do danych

Zgodnie z art. 267 § 1 Kodeksu karnego odpowiada ten, kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, m.in. przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne zabezpieczenie. Art. 267 § 2 obejmuje uzyskanie dostępu do całości lub części systemu informatycznego, a § 4 - ujawnienie innej osobie informacji uzyskanej w ten sposób. Czyny te zagrożone są grzywną, karą ograniczenia wolności albo pozbawienia wolności do lat 2. Istotne: ściganie następuje na wniosek pokrzywdzonego (art. 267 § 5). Równolegle bezprawne przetwarzanie danych osobowych może rodzić odpowiedzialność administracyjną na gruncie RODO oraz - w określonych przypadkach - karną na podstawie art. 107-108 ustawy o ochronie danych osobowych.

Brak zamiaru i kwestionowanie znamion czynu

Przestępstwo z art. 267 KK jest umyślne - wymaga zamiaru bezprawnego uzyskania dostępu do informacji nieprzeznaczonej dla sprawcy. Dlatego realną linią obrony jest wykazanie, że dostęp był przypadkowy, że sprawca działał w przekonaniu o posiadanym uprawnieniu albo że w ogóle nie doszło do przełamania lub ominięcia zabezpieczenia (a więc znamiona czynu nie zostały wypełnione). Sam fakt zapoznania się z danymi, które są jawne lub udostępnione publicznie, co do zasady nie wyczerpuje znamion z art. 267 KK. Należy jednak ostrożnie podchodzić do twierdzeń o "braku złośliwego zamiaru" przejętych z prawa amerykańskiego - polski Kodeks karny operuje pojęciami winy umyślnej i nieumyślnej, a nie kategorią malice.

Legalność dowodu i naruszenie RODO jako element strategii