Nielegalne pozyskiwanie danych z systemów zarządzania ruchem drogowym (art. 267 KK) - jak wygląda obrona?

Systemy zarządzania ruchem drogowym (tzw. ITS - Intelligent Transport Systems, sterowniki sygnalizacji, fotoradary, kamery ANPR rozpoznające tablice rejestracyjne, systemy SCATS/SCOOT) gromadzą ogromne ilości danych: numery rejestracyjne, lokalizacje pojazdów, czasy przejazdu, a często też wizerunki kierowców. Nieuprawniony dostęp do takich systemów lub pobranie z nich danych może wyczerpywać znamiona przestępstw przeciwko ochronie informacji z rozdziału XXXIII Kodeksu karnego - przede wszystkim hackingu z art. 267 KK. Jeśli usłyszałeś zarzut z tego obszaru albo dostałeś wezwanie do prokuratury, ten artykuł wyjaśnia, na jakich podstawach prawnych opiera się realna linia obrony w polskim procesie karnym. Z góry zastrzegamy: nie ma tu mowy o amerykańskim prawie ani o cywilnych roszczeniach z tytułu niedbalstwa - polskie postępowanie karne rządzi się własnymi zasadami.

Jakie przepisy chronią dane w systemach drogowych

Punktem wyjścia jest art. 267 § 1 KK: kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zabezpieczone zabezpieczenie albo przełamując lub omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Art. 267 § 2 KK rozszerza odpowiedzialność na uzyskanie dostępu do całości lub części systemu informatycznego bez uprawnienia. Art. 267 § 3 KK karze tzw. sniffing - zakładanie podsłuchu lub urządzenia podsłuchowego w celu pozyskania informacji. Jeżeli sprawca nie tylko pozyskał dane, ale je niszczył, uszkadzał lub utrudniał dostęp osobom uprawnionym, w grę wchodzą art. 268 KK (naruszenie integralności zapisu informacji), art. 268a KK (sabotaż danych w systemie informatycznym, do 3 lat) oraz art. 269 KK (atak na dane o szczególnym znaczeniu dla obronności, bezpieczeństwa, administracji - od 6 miesięcy do 8 lat). Niezależnie od odpowiedzialności karnej, dane osobowe kierowców podlegają RODO oraz ustawie z 10 maja 2018 r. o ochronie danych osobowych, a w przypadku służb - ustawie z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.

Znamiona przestępstwa z art. 267 KK - co prokuratura musi udowodnić

Obrona zaczyna się od rozbioru znamion. Aby skazać z art. 267 § 1 KK, prokuratura musi wykazać łącznie: (1) że dane były informacją nieprzeznaczoną dla oskarżonego; (2) że istniało realne zabezpieczenie - elektroniczne, informatyczne lub inne szczególne (hasło, szyfrowanie, kontrola dostępu, fizyczna kłódka); (3) że oskarżony to zabezpieczenie przełamał, ominął lub otworzył; (4) że działał umyślnie. Przestępstwo z art. 267 KK można popełnić wyłącznie umyślnie (art. 8 KK) - nie istnieje jego nieumyślna odmiana. Brak choćby jednego z tych elementów oznacza, że czyn nie wypełnia znamion. Przykład: jeśli portal gminy publikował dane o natężeniu ruchu w otwartym API bez żadnego zabezpieczenia, pobranie ich nie jest przełamaniem zabezpieczenia - po prostu nie ma czego przełamywać. To kluczowa różnica wobec dostępu do systemu chronionego loginem i hasłem.

Linia obrony nr 1: brak zabezpieczenia i dane publicznie dostępne

Najsilniejszą obroną jest wykazanie, że dane nie były skutecznie zabezpieczone albo były jawne. Część danych drogowych ma charakter informacji publicznej w rozumieniu ustawy z 6 września 2001 r. o dostępie do informacji publicznej - statystyki wypadków, ogólne natężenie ruchu, dane z otwartych portali smart city. Jeśli oskarżony pobrał dane z publicznie dostępnego źródła lub przez interfejs, który nie wymagał obejścia żadnego zabezpieczenia, znamię przełamania/ominięcia zabezpieczenia z art. 267 § 1 KK nie zostaje wyczerpane. W praktyce obrońca żąda powołania biegłego informatyka, który zbada architekturę systemu i odpowie na pytanie: czy w ogóle istniało zabezpieczenie i czy zostało technicznie przełamane. Uwaga jednak: jawność statystyk nie legalizuje dostępu do danych osobowych kierowców (numerów rejestracyjnych powiązanych z osobą) - te pozostają chronione przez RODO.

Linia obrony nr 2: działanie w granicach uprawnienia

Art. 267 § 1 i § 2 KK penalizują dostęp wyłącznie wtedy, gdy następuje bez uprawnienia. Pracownik zarządcy drogi, GDDKiA, miejskiego zarządu dróg, funkcjonariusz Policji czy Inspekcji Transportu Drogowego, który ma służbowy dostęp do systemu, co do zasady nie popełnia hackingu, korzystając z niego. Problem pojawia się, gdy dostęp jest, ale wykorzystany do celu prywatnego - tu jednak czyn może być kwalifikowany inaczej (np. przekroczenie uprawnień przez funkcjonariusza z art. 231 KK albo naruszenie RODO), a nie jako przełamanie zabezpieczenia. Obrona polega na precyzyjnym wykazaniu zakresu nadanych uprawnień, regulaminów dostępu i tego, że oskarżony działał w ich ramach. Dokumentacja: umowa, zakres obowiązków, polityka bezpieczeństwa, logi dostępu nadane legalnie - to materiał, który warto zabezpieczyć od pierwszego dnia.

Linia obrony nr 3: brak umyślności i błąd co do okoliczności

Ponieważ art. 267 KK jest przestępstwem umyślnym, obrona może wykazywać brak zamiaru. Jeżeli oskarżony pozostawał w usprawiedliwionym błędzie co do tego, że dane są dla niego przeznaczone lub że ma do nich dostęp (np. otrzymał link, dane wyświetliły się bez logowania, system nie zgłaszał żadnej blokady), zastosowanie znajduje art. 28 § 1 KK - błąd co do okoliczności stanowiącej znamię czynu wyłącza umyślność. Przypadkowe natknięcie się na dane, bez świadomego obchodzenia zabezpieczeń, nie jest hackingiem. To nie to samo co amerykańska konstrukcja negligence - w polskim prawie karnym liczy się to, czy sprawca chciał (zamiar bezpośredni) albo godził się (zamiar ewentualny) na nieuprawniony dostęp. Brak tej świadomości to brak przestępstwa. Pomocne bywają zeznania biegłego ds. informatyki i analiza logów pokazująca, że nie było prób siłowego logowania, skanowania portów ani innych typowych śladów ataku.

Kiedy w grę wchodzą surowsze kwalifikacje (art. 268a, 269 KK)

Sprawy dotyczące systemów drogowych bywają kwalifikowane łagodniej lub surowiej w zależności od skutku. Samo pozyskanie danych to art. 267 KK (do 2 lat). Jeśli jednak doszło do zakłócenia pracy systemu sterowania ruchem - np. ingerencji w sygnalizację - prokuratura może sięgnąć po art. 268a KK (niszczenie, uszkadzanie, zmiana danych albo zakłócanie przetwarzania, do 3 lat) lub art. 269a KK (zakłócenie pracy systemu, do 5 lat). Najgroźniejszy jest art. 269 KK, który chroni dane o szczególnym znaczeniu dla bezpieczeństwa państwa lub administracji - zagrożenie od 6 miesięcy do 8 lat pozbawienia wolności. Zadaniem obrony jest tu nie tylko kwestionowanie sprawstwa, ale i walka o właściwą, łagodniejszą kwalifikację: wykazanie, że nie było skutku w postaci zakłócenia, że system nie miał statusu infrastruktury o szczególnym znaczeniu, że szkoda była znikoma.

Tryb ścigania i rola pokrzywdzonego

Istotny szczegół proceduralny: ściganie przestępstw z art. 267 i art. 268 KK następuje na wniosek pokrzywdzonego (art. 267 § 5 oraz art. 268 § 4 KK). Oznacza to, że bez złożenia wniosku przez podmiot zarządzający systemem (gminę, GDDKiA, operatora ITS) postępowanie nie może się toczyć, a złożony wniosek można cofnąć za zgodą prokuratora lub sądu (art. 12 § 3 KPK). To otwiera realną przestrzeń do rozmów i mediacji - czasem naprawienie szkody, usunięcie pozyskanych danych i przeprosiny prowadzą do cofnięcia wniosku i umorzenia sprawy. Inaczej jest przy art. 269 KK, który jest ścigany z urzędu z uwagi na ochronę interesu publicznego. Dlatego pierwszą czynnością obrońcy bywa ustalenie podstawy prawnej zarzutu i trybu ścigania - bo od tego zależy cała strategia.

Co robić od pierwszego dnia - praktyczne kroki

1) Nie składaj wyjaśnień ani oświadczeń przed konsultacją z obrońcą - masz prawo do milczenia (art. 175 KPK) i nie musisz dostarczać dowodów przeciwko sobie. 2) Zabezpiecz dowody legalnego dostępu: umowy, regulaminy, korespondencję, zrzuty ekranu pokazujące brak zabezpieczeń. 3) Nie usuwaj samodzielnie żadnych danych z urządzeń - to może zostać odczytane jako zacieranie śladów (art. 239 KK). 4) Sporządź własną chronologię zdarzeń, póki pamiętasz szczegóły. 5) Ustal, kto jest pokrzywdzonym i czy złożył wniosek o ściganie. 6) Rozważ inicjatywę naprawienia szkody i kontakt mediacyjny, jeśli czyn faktycznie miał miejsce. 7) Wnioskuj o powołanie biegłego informatyka - większość spraw rozstrzyga się na płaszczyźnie technicznej: czy zabezpieczenie istniało i czy zostało przełamane.